Niveau
Temps
XP
Débutant
« Tes données t’appartiennent. Le RGPD te donne les moyens de les reprendre en main. Encore faut-il savoir comment. «
Pourquoi ce cours est important
Chaque service que tu as utilisé depuis tes 13 ans a collecté des données sur toi. Beaucoup les conservent encore. Le RGPD te donne des droits précis pour les consulter, les corriger ou les supprimer, mais personne ne t’apprend concrètement comment le faire.
- Comprendre ce que le RGPD autorise vraiment à demander à une entreprise
- Rédiger une demande d'accès ou d'effacement qui oblige l'entreprise à réagir
- Savoir quand et comment contacter la CNIL si une entreprise refuse ou ignore ta demande
- Identifier les situations où le droit à l'effacement ne s'applique pas
Ce que le RGPD te garantit
Le RGPD contient 6 droits distincts. Les 2 plus utiles au quotidien sont le droit d’accès et le droit à l’effacement.
Formuler une demande valide
Une demande correctement rédigée déclenche une obligation légale de réponse sous 30 jours. Le format compte autant que le fond.
Gérer un refus ou un silence
Si l’entreprise ne répond pas ou refuse sans motif valable, la CNIL dispose d’un outil de plainte en ligne accessible en 10 minutes.
Connaître les limites réelles
Le droit à l’effacement a des exceptions légales précises. Les connaître évite de s’épuiser sur des demandes vouées à l’échec.
I - Ce que le RGPD te donne vraiment le droit de faire
“Il existe 6 droits, mais il y en a 2 qui changent concrètement ta vie numérique dès aujourd’hui.”
Le RGPD, en vigueur depuis mai 2018, s’applique à toute entreprise qui traite des données de résidents européens, qu’elle soit basée à Paris ou en Californie. Il t’accorde 6 droits formels :
- Le droit d’accès (article 15) : il te permet d’obtenir une copie de toutes les données qu’une entreprise détient sur toi, y compris leur origine et leur durée de conservation.
- Le droit de rectification (article 16) : il te permet de faire corriger des données inexactes ou incomplètes te concernant. Si une entreprise détient une mauvaise adresse, un nom mal orthographié ou une information obsolète sur toi, tu peux exiger sa mise à jour.
Le droit à l’effacement (article 17) : souvent appelé droit à l’oubli, il oblige l’entreprise à supprimer tes données dans des délais précis. Il s’applique notamment quand tu retires ton consentement, quand les données ne sont plus nécessaires à l’objectif initial, ou quand la collecte était illégale dès le départ. En 2023, la CNIL a reçu plus de 16 000 plaintes liées à des refus d’effacement, preuve que ces situations sont courantes.
- Le droit de limitation (article 18) : il te permet de demander le « gel » temporaire de l’utilisation de tes données, sans pour autant les faire supprimer. Utile par exemple si tu contestes l’exactitude de tes données : le temps que l’entreprise vérifie, elle ne peut plus les exploiter.
- Le droit de portabilité (article 20) : il te permet de récupérer tes données dans un format lisible par une machine (JSON ou CSV) pour les transférer vers un autre service. Spotify, Google et Facebook proposent tous un export de données via leurs réglages, mais beaucoup d’entreprises moins connues font la sourde oreille jusqu’à ce qu’on leur cite l’article exact.
- Le droit d’opposition (article 21) : il te permet de refuser que tes données soient utilisées à certaines fins, notamment la prospection commerciale ou le profilage marketing. L’entreprise doit alors cesser ce traitement, sauf motif légitime impérieux de sa part.
II - Rédiger et envoyer une demande qui crée une obligation légale
“Une demande floue reste sans réponse. Une demande précise déclenche une obligation légale de 30 jours.”
Pour exercer ton droit d’accès, envoie un e-mail au délégué de la protection des données (DPO) de l’entreprise. Son adresse est souvent mentionnée dans la politique de confidentialité, en bas de page du site. Si elle est absente, utilise l’adresse de contact générale en mentionnant explicitement dans l’objet : «Demande d’exercice de droits RGPD, article X».
Ta demande doit contenir ton identité complète, une copie d’une pièce d’identité (tu peux masquer le numéro et la photo, seul le nom et le prénom sont nécessaires), et la liste précise des droits que tu exerces. Pour une demande d’effacement, cite l’article 17 du RGPD et indique le motif : retrait du consentement, données inutiles, ou traitement illicite. Plus ta demande est précise, plus il est difficile pour l’entreprise de l’ignorer.
La CNIL met à disposition un outil en ligne appelé ‘Modèles de courriers’ sur son site cnil.fr, dans la rubrique ‘Vos droits’. Ces modèles sont rédigés avec les formulations légales exactes et s’adaptent à une dizaine de situations courantes (résiliation, compte désactivé mais non supprimé, données transmises à des tiers).
III - Quand l'entreprise refuse, tarde ou disparaît dans la nature
“Un silence de 30 jours n’est pas une réponse. C’est déjà une infraction que la CNIL peut sanctionner.”
Si tu n’as pas de réponse dans les 30 jours, ou si la réponse est un refus sans justification légale, tu peux déposer une plainte auprès de la CNIL via son téléservice ‘Plainte en ligne’ sur cnil.fr. La procédure prend environ 10 minutes. Tu y joindras la copie de ta demande initiale, la preuve d’envoi (capture d’écran, accusé de réception), et la réponse de l’entreprise si elle existe. La CNIL dispose d’un pouvoir de sanction allant jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial de l’entreprise.
En 2022, la CNIL a infligé 21 millions d’euros d’amendes à diverses entreprises pour des manquements liés aux droits des personnes. Google a été sanctionné à plusieurs reprises pour ne pas avoir correctement traité les demandes de déréférencement sur son moteur de recherche. Ces précédents montrent que les plaintes aboutissent, même contre des géants.
Il existe aussi un cas particulier : les données publiées sur d’autres sites que celui de l’entreprise d’origine. Si une photo ou une information te concernant apparaît sur un site tiers, tu dois adresser ta demande directement à ce site. Si le site est indexé sur Google, tu peux en parallèle utiliser le formulaire de déréférencement de Google, accessible via’Demande de suppression de contenu’ dans l’aide Google Search. Ce déréférencement retire l’URL des résultats de recherche sans supprimer la page source.
Si tu veux plus d’infos sur la cyber, abonne-toi.
#RGPD #DroitsNumeriques #CNIL #DroitALoubli #ProtectionDesDonnees #ViePrivee #Cybersecurite