RGPD : comment exercer ses droits sur ses données personnelles

Quels droits le RGPD ouvre-t-il sur vos données ?

Le règlement général sur la protection des données s'applique dans toute l'Union européenne depuis le 25 mai 2018. En France, il prolonge la loi Informatique et Libertés du 6 janvier 1978, qui reconnaissait déjà un droit d'accès et un droit de rectification. La CNIL recense neuf droits distincts sur les données personnelles. Ils s'exercent auprès de l'organisme qui détient les données, jamais auprès du régulateur.

Ces droits ne se valent pas. Certains sont inconditionnels : l'opposition à la prospection commerciale n'a pas à être motivée. D'autres supposent une condition de fond : la portabilité ne joue que si le traitement repose sur le consentement ou sur un contrat. Identifier la base légale du traitement conditionne donc le droit que l'on peut invoquer utilement.

Le droit d'accès

L'article 15 du règlement permet de savoir si un organisme détient des données vous concernant et d'en obtenir une copie. La réponse doit aussi préciser les finalités du traitement, les catégories de données, les destinataires, la durée de conservation, la source des données lorsqu'elles n'ont pas été collectées auprès de vous, l'existence d'un profilage ou d'une décision automatisée, et les transferts éventuels hors de l'Union européenne. La première copie est gratuite.

L'accès n'est pas illimité. Il ne doit porter atteinte ni aux droits des tiers, ni au secret des affaires, ni à la propriété intellectuelle. Un organisme qui écarte une partie des pièces pour l'un de ces motifs doit le dire et l'expliquer, et non se contenter d'un envoi partiel silencieux. Certains fichiers publics, notamment de police et de renseignement, relèvent d'un régime d'accès indirect : la demande transite par la CNIL, qui mandate un de ses membres.

Le droit de rectification

L'article 16 permet de faire corriger une donnée inexacte et de faire compléter une donnée lacunaire. Le cas typique est une adresse périmée, une orthographe fautive du nom, une date de naissance erronée ou une situation familiale non mise à jour. La demande gagne à indiquer la valeur exacte et, quand elle existe, à joindre la pièce qui l'établit. La rectification s'impose ensuite aux destinataires auxquels la donnée a été transmise.

Le droit à l'effacement

L'article 17, souvent appelé droit à l'oubli, ne s'applique pas en toute circonstance. La CNIL énumère les situations qui l'ouvrent.

• les données sont utilisées à des fins de prospection commerciale ;
• elles ne sont plus nécessaires au regard de la finalité pour laquelle elles ont été collectées ;
• vous retirez le consentement sur lequel le traitement reposait ;
• le traitement est illicite ;
• les données ont été collectées alors que vous étiez mineur, sur un service en ligne ;
• l'effacement est imposé par une obligation légale ;
• vous vous êtes opposé au traitement et l'organisme n'a pas de motif légitime impérieux à opposer.

L'effacement cède devant plusieurs intérêts concurrents : la liberté d'expression et d'information, une obligation légale de conservation, l'intérêt public en matière de santé publique, l'archivage, la recherche scientifique ou statistique, et la constatation ou la défense d'un droit en justice. La CNIL cite l'exemple des factures, qu'une entreprise doit conserver dix ans.

Le droit d'opposition

L'article 21 impose en principe d'invoquer des raisons tenant à votre situation particulière. La prospection commerciale fait exception : l'opposition n'a pas à être motivée et l'adresse doit être retirée des fichiers dans les meilleurs délais. En dehors de ce cas, l'organisme peut résister s'il démontre des motifs légitimes et impérieux, une obligation légale, un contrat en cours ou la nécessité de défendre un droit. La CNIL rappelle qu'opposition ne vaut pas suppression de compte : chez un opérateur mobile ou un site marchand, seule la résiliation du contrat le permet.

Le droit à la portabilité

L'article 20 suppose trois conditions cumulatives : les données ont été fournies par vous ou générées par votre activité, le traitement repose sur le consentement ou sur un contrat, et il est automatisé. Les fichiers papier en sont exclus. Le format doit être structuré, couramment utilisé et lisible par une machine : la CNIL cite le CSV, le JSON ou la vCard, et écarte les formats propriétaires ou les images de documents.

Les données déduites ou calculées par l'organisme échappent à la portabilité. La CNIL cite la catégorisation dans des segments marketing, les scores de risque de crédit et les notes attribuées par d'autres utilisateurs. Les images de vidéosurveillance, les déclarations fiscales et les enregistrements de badgeuse ne sont pas non plus portables. Vous pouvez demander la transmission directe des données à un autre organisme, sans passer par vous.

La limitation, le déréférencement et la décision automatisée

L'article 18 permet de geler l'usage d'une donnée, notamment le temps qu'un litige sur son exactitude soit tranché : elle est conservée mais plus exploitée. Le déréférencement vise les moteurs de recherche et fait disparaître l'association entre votre nom et une page, sans supprimer la page elle-même. L'article 22 permet enfin de contester une décision entièrement automatisée produisant des effets juridiques et d'obtenir une intervention humaine.

Comment adresser une demande à un organisme ?

La demande s'adresse au responsable de traitement. Quand il en a désigné un, le délégué à la protection des données est l'interlocuteur naturel : ses coordonnées figurent dans la politique de confidentialité du site ou dans les mentions d'information. À défaut, le service client ou le siège social font l'affaire. La CNIL admet la voie électronique comme le courrier et met à disposition des modèles de lettre pour chaque droit.

La copie d'une pièce d'identité n'est pas un préalable. La CNIL indique que l'exercice des droits est gratuit et qu'il n'est pas nécessaire de fournir une copie de sa carte d'identité. Côté professionnel, elle précise que la vérification d'identité n'est légitime qu'en cas de doute raisonnable sur la personne du demandeur. Un organisme qui exige systématiquement une pièce d'identité ajoute une condition que le texte ne prévoit pas.

La gratuité est la règle. Des frais raisonnables, fondés sur les coûts administratifs, ne peuvent être demandés que pour des copies supplémentaires ou lorsque la demande est manifestement excessive. Une facturation de principe pour un premier accès n'est pas conforme.

Dans quel délai l'organisme doit-il répondre ?

La règle est fixée par l'article 12 du règlement : la réponse intervient dans les meilleurs délais et au plus tard dans un délai d'un mois. Le point de départ est la réception de la demande. Le délai court même si l'organisme estime la demande mal fondée : il doit répondre pour refuser.

Une prolongation de deux mois est possible pour les demandes complexes, ce qui porte le délai total à trois mois. La CNIL cite l'exemple d'un droit d'accès supposant de retrouver de nombreux documents archivés. Cette prolongation n'est pas automatique : l'organisme doit vous en informer, en la motivant, dans le premier mois. Passé ce premier mois sans nouvelle, la prolongation n'est plus opposable.

Deux régimes plus courts existent. Pour les données de santé, la CNIL retient un délai de huit jours. Pour la prospection commerciale, le retrait de l'adresse des fichiers d'envoi doit intervenir dans les meilleurs délais, sans attendre l'échéance d'un mois.

Le silence n'est pas une réponse. À l'expiration du délai, l'absence de retour ouvre la voie à une plainte, au même titre qu'un refus explicite. C'est d'ailleurs le motif de sanction le plus fréquent en procédure simplifiée.

Dans quels cas un refus est-il admis ?

Le règlement admet plusieurs motifs de refus, mais aucun ne dispense de répondre. Les principaux tiennent aux limites suivantes.

• demande manifestement infondée ou excessive, en particulier lorsqu'elle est répétitive : l'organisme doit en apporter la preuve ;
• atteinte aux droits des tiers, au secret des affaires ou à la propriété intellectuelle ;
• obligation légale de conservation, comme les dix ans applicables aux factures ;
• liberté d'expression et d'information, invoquée notamment face à une demande d'effacement d'un contenu éditorial ;
• intérêt public en matière de santé publique, archivage, recherche scientifique ou statistique ;
• constatation, exercice ou défense d'un droit en justice ;
• données déjà effacées, qui ne peuvent plus être communiquées.

Le refus obéit à une forme. La CNIL rappelle aux professionnels qu'il doit être écrit, motivé, et mentionner les voies de recours, c'est-à-dire la possibilité de saisir la CNIL et le juge. Un refus non motivé équivaut, en pratique, à une absence de réponse.

Comment porter plainte auprès de la CNIL ?

La démarche auprès de l'organisme est un préalable obligatoire. La CNIL demande d'avoir d'abord exercé son droit et attendu le délai d'un mois. La plainte se dépose ensuite en ligne, via le service de plainte du site, ou par courrier adressé à la CNIL, Service des plaintes, 3 place de Fontenoy, 75007 Paris.

Le dossier doit être rédigé en français, identifier l'organisme visé par son nom et son numéro SIREN, comporter vos coordonnées et joindre les pièces qui attestent des faits. Une plainte vague ou incomplète n'est pas instruite. La CNIL indique fournir un point d'avancement dans un délai de trois mois, le temps de traitement dépendant ensuite de la complexité du dossier et des réponses de l'organisme mis en cause.

La CNIL ne fait pas tout. Elle n'exerce pas les droits à votre place, n'accorde pas de dommages et intérêts et ne traite pas les litiges qui sortent de la protection des données, comme le droit du travail ou la diffamation. Une demande d'indemnisation relève du juge civil, indépendamment de la procédure administrative.

Le volume de saisines progresse. La CNIL a reçu 20 150 plaintes en 2025, en hausse de 10 % sur un an, après 17 772 en 2024, année déjà présentée comme un record. Les secteurs des télécommunications, du web et des réseaux sociaux concentraient 49 % des plaintes en 2024, devant le commerce, 19 %, et le travail, 13 %.

Quelles sanctions la CNIL prononce-t-elle ?

L'amende n'est qu'un outil parmi d'autres. La formation restreinte peut prononcer un rappel à l'ordre, une injonction de mise en conformité assortie d'une astreinte pouvant atteindre 100 000 euros par jour, une limitation ou une interdiction du traitement, un retrait de certification, une suspension des transferts de données hors de l'Union européenne. En amont, la présidente peut adresser une mise en demeure, qui n'est pas une sanction.

La procédure simplifiée traite les dossiers sans difficulté juridique particulière. La décision est prise par un membre unique de la formation restreinte, le plafond est ramené à 20 000 euros et l'astreinte à 100 euros par jour, et l'organisme sanctionné n'est pas nommé publiquement.

Le bilan 2025 fait état de 259 décisions correctrices, dont 83 sanctions, 143 mises en demeure, 31 rappels aux obligations légales et 2 avertissements. Le montant cumulé des amendes atteint 486 839 500 euros. Sur les 83 sanctions, 78 sont des amendes, dont 27 assorties d'injonctions sous astreinte, et 67 ont été rendues en procédure simplifiée. Les 16 dossiers passés en formation restreinte comprennent 4 décisions prises en coopération avec des homologues européens.

La comparaison sur trois ans montre une rupture de montant plutôt que de volume. En 2024, la CNIL avait rendu 331 décisions, dont 87 sanctions, pour 55 212 400 euros d'amendes. En 2023, elle comptait 42 sanctions et 168 mises en demeure. Le total 2025 dépasse ainsi de près de neuf fois celui de 2024, avec un nombre de sanctions légèrement inférieur : ce sont quelques dossiers de grande ampleur qui font l'écart.

Un exemple récent l'illustre. Le 13 janvier 2026, la formation restreinte a prononcé 42 millions d'euros d'amendes contre Free Mobile et Free, 27 millions pour la première et 15 millions pour la seconde, après l'intrusion d'octobre 2024 qui avait exposé les données de 24 millions de contrats d'abonnement, IBAN compris pour une partie des clients. Trois manquements ont été retenus : une sécurité insuffisante, une information des personnes incomplète et une conservation excessive de données. La CNIL a laissé trois mois pour corriger la sécurité et six mois pour trier les données. Plus de 2 500 plaintes avaient été déposées.

Les sanctions de masse, elles, portent d'abord sur les droits. Depuis janvier 2026, la CNIL a prononcé 23 sanctions en procédure simplifiée, dont 19 issues de plaintes, pour un total de 133 750 euros. Huit visaient l'absence de réponse à une demande d'accès ou d'effacement, quatre s'y ajoutant pour défaut de coopération avec la CNIL. Le même constat valait en 2024 : 23 des sanctions simplifiées portaient sur le non-respect des droits.

Que faire quand vos données ont fuité ?

Les violations de données notifiées à la CNIL progressent. Elles atteignent 6 167 en 2025, en hausse de 9,5 % sur un an, le piratage représentant la moitié des cas. En 2024, la CNIL en avait enregistré 5 629, soit 20 % de plus qu'en 2023, avec un doublement des violations touchant plus d'un million de personnes, passées d'une vingtaine à une quarantaine par an.

Quand le risque pour les personnes est élevé, l'organisme doit vous informer directement. Cette information doit être complète : la CNIL a retenu contre Free Mobile et Free le fait que les courriels envoyés aux abonnés ne permettaient pas de comprendre les conséquences de la fuite ni les mesures à prendre. Une notification laconique constitue en soi un manquement.

Après une fuite, trois réflexes limitent les dégâts : renouveler les mots de passe réutilisés ailleurs, surveiller les prélèvements bancaires si un IBAN figurait parmi les données exposées, et traiter avec méfiance tout message qui reprend vos données réelles pour paraître crédible. La demande d'accès reste utile pour savoir précisément ce que l'organisme détenait.

Le contexte de contrôle change en 2026. La CNIL a annoncé consacrer la moitié de ses contrôles et de ses actions répressives de l'année à la conformité en matière de cybersécurité. Les manquements à l'article 32 du règlement, qui impose des mesures de sécurité adaptées, occupent désormais une place centrale dans les dossiers les plus lourds.