Tes données personnelles en ligne : tes droits et comment les exercer

En bref

• Le RGPD permet de connaître, corriger, récupérer ou faire supprimer certaines informations détenues sur toi.
• Ces droits numériques s’exercent généralement gratuitement auprès de l’organisme concerné, avec une réponse attendue sous un mois.
• L’effacement, la portabilité et l’opposition obéissent à des conditions précises : supprimer un compte ne signifie pas toujours supprimer toutes ses traces.
• Une décision entièrement automatisée peut être contestée lorsqu’elle produit des effets juridiques ou te touche de manière significative.
• Une demande claire, une preuve d’envoi et un suivi méthodique facilitent les démarches. En France, la CNIL peut être saisie en cas de difficulté.

Données personnelles en ligne : comprendre le RGPD et utiliser ton droit d’accès

Une plateforme connaît ton adresse électronique. Une boutique conserve tes achats. Un outil marketing te classe dans une catégorie commerciale. Mais qui sait quoi, et pour quelle raison ? La protection des données commence par cette question, bien avant le clic sur « supprimer mon compte ».

Depuis le 25 mai 2018, le RGPD encadre les traitements d’informations permettant d’identifier une personne, directement ou indirectement. Un nom entre dans cette catégorie, mais aussi une adresse IP, une localisation ou un identifiant publicitaire lorsqu’ils permettent de reconnaître quelqu’un.

Quels organismes doivent respecter tes droits numériques ?

Le règlement concerne notamment les traitements réalisés dans le cadre des activités d’un établissement situé dans l’Union européenne. Il peut également viser un organisme installé ailleurs lorsqu’il propose des biens ou services à des personnes présentes dans l’Union, ou suit leur comportement sur ce territoire.

La localisation du siège social ne suffit donc pas à écarter les obligations européennes. À l’inverse, posséder quelques informations sur un ressortissant européen ne rend pas automatiquement toute activité mondiale soumise au texte : le contexte du traitement compte.

Prenons Nora, consultante indépendante fictive. Elle utilise une plateforme de facturation, un réseau social et un service de réservation. Chacun possède un morceau différent de son quotidien ; aucun bouton universel ne permet de reprendre simultanément le contrôle chez tous ces acteurs.

Le droit à l’information : vérifier les règles avant de transmettre

Un organisme doit expliquer son identité, ses objectifs, sa base juridique, les destinataires des informations et leur durée de conservation, ou les critères utilisés pour la déterminer. Il doit aussi présenter les droits applicables et signaler les éventuels transferts internationaux avec les garanties pertinentes.

Le consentement n’est pas la seule base juridique. Une livraison peut nécessiter une adresse pour exécuter un contrat, tandis qu’une facture peut être conservée pour respecter une obligation légale. Présenter toute collecte comme une simple question de case cochée masque ces différences.

Si les renseignements proviennent d’un tiers, l’information doit normalement préciser leur origine. Pour Nora, découvrir qu’une entreprise a obtenu son numéro auprès d’un courtier change la démarche : elle peut interroger le destinataire et remonter vers la source, plutôt que multiplier les désinscriptions à l’aveugle.

Droit	Référence RGPD	Utilité concrète
Information	Articles 13 et 14	Comprendre les usages et les conditions de collecte.
Accès	Article 15	Obtenir ses informations et une copie des données traitées.
Rectification	Article 16	Corriger une erreur ou compléter un dossier.
Effacement	Article 17	Demander une suppression dans les situations prévues.
Limitation	Article 18	Restreindre l’utilisation pendant une contestation.
Portabilité	Article 20	Récupérer certaines informations dans un format réutilisable.
Opposition	Article 21	Refuser certains usages, notamment la prospection.
Décisions automatisées	Article 22	Bénéficier de protections contre certaines décisions algorithmiques.

Le droit d’accès : demander davantage qu’un export de profil

Le droit d’accès permet de savoir si des éléments te concernant sont traités et d’en obtenir une copie. Il couvre aussi des renseignements sur les finalités, les destinataires, la conservation et, lorsque c’est pertinent, l’origine des informations ou certains mécanismes de décision automatisée.

Nora peut ainsi demander ses coordonnées enregistrées, son historique de transactions et les catégories commerciales qui lui sont associées, dès lors qu’elles constituent des informations personnelles. Un classement déduit par une entreprise n’échappe pas automatiquement à cette obligation parce qu’il a été calculé plutôt que renseigné.

Les fonctions « Télécharger tes informations » constituent un point de départ pratique. Elles ne remplacent toutefois pas nécessairement une réponse complète : si des éléments manquent, une demande complémentaire reste possible, dans le respect des droits d’autrui.

La copie ne donne pas systématiquement accès à tous les documents internes sans adaptation. Des passages concernant d’autres personnes peuvent être occultés. L’objectif est d’obtenir une vision intelligible de ton dossier, pas seulement une archive volumineuse impossible à exploiter.

Droit de rectification et droit à l’effacement : corriger ou supprimer les bonnes informations

Une information erronée peut sembler anodine jusqu’au moment où elle bloque un remboursement, déclenche une relance ou fausse une évaluation. Pour Nora, une ancienne adresse enregistrée chez un prestataire ne relève pas seulement du confort : elle peut entraîner l’envoi de documents sensibles au mauvais endroit.

Le droit de rectification permet d’obtenir la correction d’éléments inexacts et, selon la finalité poursuivie, de compléter un dossier incomplet. Une demande efficace identifie le champ concerné, expose l’erreur et indique la valeur correcte, avec un justificatif proportionné lorsque celui-ci est nécessaire.

Corriger une erreur et limiter sa propagation

Lorsque des renseignements ont été communiqués à des destinataires, l’organisme doit leur notifier la correction, sauf impossibilité ou efforts disproportionnés. Tu peux également demander à connaître ces destinataires. C’est utile lorsqu’une mauvaise information circule entre un marchand, un prestataire de paiement et un service de livraison.

Il faut cependant distinguer une erreur factuelle d’un désaccord avec une appréciation. Une date de naissance incorrecte se rectifie ; une évaluation professionnelle défavorable ne devient pas nécessairement inexacte parce qu’elle déplaît. Les faits utilisés pour produire cette évaluation peuvent, eux, être contestés et corrigés.

Nora découvre par exemple qu’un dossier mentionne trois incidents de paiement alors qu’un seul concerne son compte. Sa demande gagne en précision si elle vise les deux opérations attribuées à tort, avec leurs références, plutôt qu’une suppression générale de toute appréciation financière.

Quand le droit à l’effacement s’applique-t-il ?

Le droit à l’effacement intervient notamment lorsque les renseignements ne sont plus nécessaires, lorsqu’un traitement est illicite ou lorsqu’un consentement est retiré sans autre fondement permettant la poursuite de l’usage. Une opposition recevable peut également conduire à la suppression.

La collecte concernant un enfant peut ouvrir des possibilités particulières lorsqu’elle était liée à une offre de services de la société de l’information fondée sur son accord. Être mineur lors de n’importe quelle collecte ne crée toutefois pas un droit automatique à faire disparaître tous les dossiers.

Supprimer un compte ne signifie pas effacer immédiatement chaque enregistrement. Une entreprise peut devoir conserver certaines pièces comptables, ou des éléments nécessaires à la défense de droits en justice. Des exceptions existent aussi pour la liberté d’expression et certains objectifs d’intérêt public.

En France, les pièces comptables concernées sont généralement conservées dix ans. Cela ne justifie pas de maintenir indéfiniment un profil publicitaire complet : la conservation doit rester liée à son objectif, avec des accès et des usages adaptés.

Pour quitter un réseau social, Nora distingue donc la fermeture du profil, l’effacement des publications et les éventuels enregistrements conservés pour des motifs précis. Le guide pour supprimer son compte Instagram depuis son téléphone éclaire la procédure technique, qui reste distincte d’une demande juridique ciblée.

La limitation du traitement : geler l’usage pendant une vérification

Quand l’exactitude d’un dossier est contestée, demander sa suppression immédiate n’est pas toujours judicieux. La limitation permet notamment de restreindre son utilisation pendant les vérifications. Elle peut aussi servir lorsque les éléments doivent être conservés pour établir ou défendre des droits en justice.

Cette protection n’interdit pas absolument toute opération. Outre le stockage, certains usages restent possibles avec ton accord, pour une procédure judiciaire, pour protéger les droits d’une autre personne ou pour des motifs importants d’intérêt public prévus par le règlement.

Dans le cas des incidents de paiement contestés, Nora demande une correction et une restriction temporaire des usages concernés. Cette combinaison évite qu’une erreur continue d’alimenter de nouvelles décisions pendant son examen. Choisir le bon levier consiste parfois à suspendre avant de supprimer.

Opposition au traitement, consentement et portabilité : reprendre la main sur les usages

Recevoir moins de messages commerciaux et récupérer son historique ne répondent pas au même besoin. Dans le premier cas, tu contestes une utilisation ; dans le second, tu veux déplacer certaines informations. Confondre ces démarches conduit souvent à des réponses partielles ou à une fermeture de compte non souhaitée.

Nora souhaite conserver son outil de facturation, mais arrêter les offres de partenaires. Elle n’a aucune raison de supprimer toutes ses factures pour y parvenir. Une demande ciblant la prospection protège son usage professionnel tout en réduisant les sollicitations.

L’opposition au traitement pour arrêter la prospection

Pour la prospection commerciale, aucune justification personnelle n’est nécessaire. Cette opposition couvre aussi le profilage lorsqu’il est lié à cette activité. L’organisme ne peut pas maintenir ces usages en invoquant simplement l’intérêt de ses campagnes ou la pertinence supposée de ses offres.

Un lien de désinscription peut suffire pour une newsletter. Si les sollicitations continuent, précise les canaux concernés et demande l’arrêt des usages commerciaux associés à ton adresse ou à ton numéro. Garder une capture et la date de désabonnement rend le suivi beaucoup plus simple.

L’entreprise peut conserver une information minimale dans une liste d’exclusion afin de respecter ton choix. Cette trace n’est pas un prétexte pour poursuivre les campagnes : elle sert précisément à éviter une réinscription accidentelle lors d’un nouvel import de contacts.

Pour d’autres usages fondés sur l’intérêt légitime ou une mission d’intérêt public, il faut exposer des raisons liées à ta situation particulière. L’organisme peut poursuivre s’il démontre des motifs légitimes impérieux prévalant sur tes intérêts, ou si l’utilisation est nécessaire à la défense de droits en justice.

Retirer son consentement sans confondre toutes les bases juridiques

Lorsque l’usage repose sur ton accord, tu peux le retirer à tout moment, aussi facilement que tu l’as donné. Ce retrait ne rend pas rétroactivement illicites les opérations réalisées auparavant sur cette base. Il impose en revanche de revoir les utilisations futures concernées.

Sur un site, refuser les traceurs soumis au consentement ne devrait pas empêcher le fonctionnement des mécanismes strictement nécessaires au service demandé. Un panier d’achat et un outil publicitaire ne remplissent pas le même rôle, même lorsqu’ils partagent un vocabulaire technique similaire.

Nora vérifie aussi les paramètres de son compte après avoir modifié la bannière de cookies. Les préférences du navigateur, celles de l’application et les autorisations marketing peuvent relever de commandes différentes. Un clic ne règle pas toujours toute la chaîne.

La portabilité des données personnelles pour changer de service

La portabilité concerne les renseignements fournis par la personne, traités automatiquement sur la base d’un contrat ou du consentement. Elle permet d’obtenir un format structuré, couramment utilisé et lisible par machine, comme CSV ou JSON, et parfois une transmission directe entre prestataires lorsque cela est techniquement possible.

Les éléments fournis peuvent inclure certaines observations issues de l’utilisation du service, pas uniquement les champs remplis manuellement. En revanche, les analyses et scores déduits par l’entreprise ne relèvent généralement pas de ce mécanisme, même s’ils peuvent être concernés par le droit d’accès.

Pour Nora, récupérer un historique exploitable avant de changer d’application évite une dépendance inutile. Mais un fichier disponible à l’export n’assure pas que le nouvel outil saura l’importer : formats, champs et compatibilité doivent être examinés avant la migration.

Cette démarche ne déclenche pas automatiquement l’effacement chez le fournisseur initial. Il faut prévoir séparément le transfert, la vérification des résultats puis, si nécessaire, la fermeture du compte. La maîtrise numérique repose autant sur le choix des usages que sur la possibilité de quitter un service.

Profilage et intelligence artificielle : contester une décision automatisée qui te concerne

Un algorithme peut recommander une chanson, classer un prospect ou décider du rejet d’une candidature. Ces situations n’ont pas les mêmes conséquences. Le RGPD ne crée pas un droit général à refuser chaque calcul informatique : il apporte des protections particulières face à certaines décisions entièrement automatisées.

Le point central est double : l’absence d’intervention humaine réelle et l’importance des effets produits. Une décision qui modifie tes droits, ou influence fortement ta situation, mérite un examen différent d’une simple suggestion de contenu dans un fil d’actualité.

Quels usages relèvent des protections de l’article 22 ?

Un refus de crédit décidé exclusivement par un système automatisé peut entrer dans ce cadre. Il en va potentiellement de même pour une sélection professionnelle ou une tarification d’assurance selon leurs modalités et conséquences. Le nom du logiciel ne détermine pas, à lui seul, la règle applicable.

Une personne qui valide mécaniquement la recommandation d’une machine n’apporte pas nécessairement une intervention significative. Pour être réelle, la revue humaine doit permettre d’examiner les éléments pertinents et de modifier le résultat, pas seulement d’apposer une signature numérique.

Dans notre exemple, Nora sollicite un financement pour son activité. Le rejet apparaît quelques secondes après le dépôt, sans échange avec un conseiller. Cette rapidité n’établit pas à elle seule une infraction, mais justifie de demander comment la décision a été prise et quel rôle une personne a effectivement joué.

Il faut aussi distinguer profilage et décision. Construire une catégorie à partir d’un historique constitue potentiellement du profilage ; utiliser cette catégorie pour produire un refus significatif soulève une question supplémentaire. Les autres obligations du règlement restent applicables même lorsque l’article 22 ne s’applique pas.

Demander une explication utile et une réévaluation

Lorsque les dispositions pertinentes s’appliquent, tu peux demander des informations utiles sur la logique en jeu, ainsi que sur l’importance et les conséquences prévues du mécanisme. L’objectif n’est pas nécessairement d’obtenir le code source, mais de comprendre les critères et leur rôle dans ton cas.

Une formule comme « résultat issu de notre intelligence artificielle » n’explique rien. Nora peut demander quelles catégories de renseignements ont pesé sur le rejet, comment elles ont été utilisées et si une erreur factuelle a influencé l’évaluation.

Certains cas permettent exceptionnellement une décision entièrement automatisée, notamment lorsqu’elle est nécessaire à un contrat, autorisée par un texte approprié ou fondée sur un consentement explicite. Ces exceptions restent encadrées et ne dispensent pas de prévoir les garanties exigées.

Dans les cas liés au contrat ou à l’accord explicite, ces garanties comprennent au moins la possibilité d’obtenir une intervention humaine, d’exprimer son point de vue et de contester la décision. Pour les autorisations légales, les protections doivent être prévues par le cadre applicable.

IA générative : protéger aussi les informations que tu transmets

Le risque ne se limite pas aux scores. Coller un dossier client, une candidature ou un compte rendu médical dans un assistant conversationnel peut créer une nouvelle transmission. Les conditions contractuelles, les réglages de conservation et les éventuels usages d’amélioration du service doivent être vérifiés avant l’envoi.

Pour une indépendante, remplacer les noms par des initiales n’assure pas toujours l’anonymat. Une fonction, une ville et un événement précis peuvent suffire à retrouver une personne. La pseudonymisation réduit certains risques, mais les renseignements restent personnels si une réidentification demeure possible.

Le décryptage de la régulation européenne de l’intelligence artificielle aide à distinguer ces enjeux. Les règles propres à l’IA complètent le cadre existant ; elles ne remplacent pas les droits attachés aux informations individuelles.

Nora retire donc les détails inutiles avant toute analyse assistée et privilégie un environnement professionnel adapté. La bonne question n’est pas seulement « que décide cette IA ? », mais aussi « quelles informations lui ont permis de décider ? »

Comment exercer ses droits : demande, délai de réponse et recours auprès de la CNIL

Connaître ses possibilités ne suffit pas si la demande se perd dans un formulaire inadapté. Pour exercer ses droits, le plus efficace consiste à préciser l’organisme, le compte concerné et le résultat recherché. Une démarche courte et traçable vaut mieux qu’un message général adressé à dix services.

Nora crée un suivi simple : nom du prestataire, interlocuteur, date d’envoi, objet et réponse reçue. Ce tableau personnel lui évite de relancer trop tôt ou d’oublier une demande. Il conserve les preuves sans devenir une nouvelle collection de documents sensibles.

Envoyer une demande claire au bon interlocuteur

La politique de confidentialité indique normalement comment contacter le responsable du traitement ou son délégué à la protection des données, lorsqu’un tel interlocuteur existe. À défaut, le service client peut recevoir la demande et l’orienter. Aucun organisme ne peut exiger systématiquement un courrier recommandé comme unique moyen.

1. Identifier le dossier : préciser l’adresse associée au compte ou une référence client pertinente.
2. Nommer la démarche : accès, correction, suppression, opposition ou restriction, selon le besoin réel.
3. Délimiter la demande : indiquer les renseignements, usages ou périodes concernés, sans réduire involontairement un accès souhaité plus large.
4. Choisir le canal de réponse : privilégier un espace sécurisé pour les éléments sensibles.
5. Conserver la preuve : garder le message envoyé, sa date et l’éventuel accusé de réception.

Un objet tel que « Demande d’accès — article 15 du RGPD — compte associé à cette adresse » facilite le traitement. Citer un article n’est toutefois pas obligatoire : une formulation compréhensible suffit. L’exercice d’un droit ne doit pas devenir un examen de vocabulaire juridique.

Une copie de pièce d’identité n’est pas systématiquement nécessaire. Si l’organisme a des doutes raisonnables, il peut demander des renseignements supplémentaires proportionnés pour confirmer ton identité. Envoyer spontanément un document complet ajoute parfois un risque sans accélérer la procédure.

Comprendre le délai d’un mois et les règles de gratuité

La réponse doit intervenir sans retard injustifié et, en principe, dans un délai d’un mois après réception. Une prolongation pouvant atteindre deux mois supplémentaires est possible selon la complexité et le nombre des demandes. L’organisme doit annoncer cette prolongation et ses motifs pendant le premier mois.

Le refus doit également être expliqué, avec des informations sur les possibilités de plainte et de recours. Un silence ou une réponse automatique disant uniquement « votre ticket est enregistré » ne constitue pas une réponse de fond.

La démarche est normalement gratuite. Des demandes manifestement infondées ou excessives peuvent conduire à des frais raisonnables ou à un refus, que l’organisme doit justifier. Des copies supplémentaires peuvent aussi donner lieu à des frais fondés sur les coûts administratifs : ce n’est pas un tarif d’entrée pour obtenir ses renseignements.

Saisir la CNIL et réduire la collecte future

En France, tu peux déposer une plainte auprès de la CNIL si la démarche reste sans réponse ou si le traitement soulève une difficulté. Joins les échanges, les dates, les captures utiles et une description précise du problème ; un dossier documenté facilite son examen.

La plainte ne garantit ni une sanction immédiate ni une indemnisation automatique. L’autorité peut intervenir selon ses compétences et les circonstances, tandis qu’une demande de réparation relève d’une démarche distincte. Les sanctions les plus élevées prévues par le règlement peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, selon le montant supérieur.

En parallèle, limite les permissions des applications, refuse les traceurs non nécessaires et utilise des alias de messagerie lorsque cela convient. Les réflexes essentiels de cybersécurité pour les particuliers complètent cette protection de la vie privée, notamment contre le vol de comptes.

Un navigateur protecteur ou un DNS chiffré réduit certains risques, sans rendre anonyme ni empêcher une plateforme de suivre un utilisateur connecté. Le levier le plus fiable reste une demande vérifiable, associée à des réglages qui évitent de recréer demain les traces supprimées aujourd’hui.

Le RGPD s’applique-t-il à une entreprise installée hors de l’Union européenne ?

Oui, notamment lorsqu’elle propose des biens ou services à des personnes présentes dans l’Union européenne ou suit leur comportement sur ce territoire. Son application dépend du contexte : la nationalité européenne d’une personne ne suffit pas, à elle seule, à soumettre toutes les activités de l’entreprise au règlement.

Un employeur doit-il répondre à une demande d’accès ?

Oui. Tu peux demander l’accès aux informations personnelles traitées à ton sujet, notamment dans les systèmes RH, les évaluations ou les dispositifs de contrôle. Cela ne donne pas automatiquement une copie intégrale de tous les documents : les droits d’autres personnes doivent aussi être respectés.

Une entreprise peut-elle conserver des informations après la suppression d’un compte ?

Oui, si une justification valable l’exige, par exemple une obligation comptable ou la défense de droits en justice. Elle doit limiter les éléments conservés, leur durée et leurs usages. Cette conservation ne permet pas de poursuivre librement la prospection commerciale.

Les données anonymisées restent-elles soumises au RGPD ?

Une anonymisation effective, qui empêche raisonnablement l’identification compte tenu des moyens susceptibles d’être utilisés, fait sortir les informations du champ du règlement. Une simple pseudonymisation ne suffit pas : remplacer un nom par un identifiant laisse les protections applicables si la personne peut être retrouvée.

Que faire si aucune réponse n’arrive après un mois ?

Vérifie qu’aucune prolongation motivée n’a été annoncée, conserve la preuve de ta demande et adresse une relance précise. Tu peux ensuite saisir la CNIL avec les pièces utiles. Un message d’attente automatique ne remplace pas la réponse attendue sur l’exercice de ton droit.