Un client vous écrit : mon adresse est fausse, corrigez-la. Derrière cette phrase banale se cache une obligation encadrée, avec un délai strict, une vérification d’identité et plusieurs pièges. Voici comment répondre proprement, sans exposer votre organisation à une plainte.
Le droit de rectification, ça couvre quoi au juste ?
L’article 16 du RGPD impose de corriger sans délai les données inexactes concernant une personne.
La personne peut aussi faire compléter des informations incomplètes, au moyen d’une déclaration additionnelle.
Ce droit prolonge le principe d’exactitude posé par le RGPD : vos fichiers doivent rester justes et fiables.
Une adresse périmée, un nom mal orthographié ou une date erronée entrent tous dans ce champ.
En revanche, il ne permet pas de réécrire une opinion ou une appréciation légitimement émise.
Corriger vite protège aussi vos décisions, souvent fondées sur ces mêmes données.
Comment vérifier l’identité sans décourager le demandeur ?
Vous pouvez réclamer une preuve d’identité en cas de doute raisonnable sur l’auteur de la demande.
Mais exiger systématiquement une copie de pièce d’identité reste disproportionné et contestable.
Si la personne est déjà connectée à son espace client, aucun justificatif supplémentaire n’est utile.
La vérification ne doit jamais servir de prétexte pour ralentir le traitement, comme pour le droit d’accès et ses demandes.
Adaptez le niveau de contrôle à la sensibilité réelle des données concernées.
Notez la date et le mode de vérification retenus dans votre registre des demandes.
Quel délai pour corriger les données ?
Vous disposez d’un mois à compter de la réception de la demande.
Le délai court dès l’arrivée du message, même par un canal informel comme un email.
Ce délai peut être prolongé de deux mois pour les demandes complexes ou nombreuses.
Vous devez alors informer la personne de ce report avant la fin du premier mois.
La réponse reste gratuite, sauf demande manifestement infondée ou excessive.
| Situation | Délai applicable |
|---|---|
| Demande simple | 1 mois maximum |
| Demande complexe ou volume élevé | 1 mois, prolongeable de 2 mois après information |
| Refus motivé | Réponse sous 1 mois, voies de recours indiquées |
Faut-il prévenir vos partenaires qui ont reçu ces données ?
Oui. L’article 19 du RGPD vous oblige à notifier la correction à chaque destinataire.
Cela vise vos sous-traitants et leurs obligations contractuelles, ainsi que tout organisme destinataire.
Seule exception : une notification impossible ou exigeant des efforts manifestement disproportionnés.
Confier ce suivi à un délégué formé fiabilise le processus, comme le rappelle la CNIL sur la désignation du DPO.
La personne peut d’ailleurs demander la liste des destinataires ainsi informés.
Une procédure interne écrite fait gagner un temps précieux et couvre six étapes clés :
- Enregistrer la demande et sa date d’arrivée.
- Vérifier l’identité de façon proportionnée.
- Localiser la donnée dans tous vos outils.
- Corriger ou compléter l’information concernée.
- Répercuter la correction chez vos destinataires.
- Confirmer par écrit à la personne, sous un mois.
Peut-on refuser une demande de rectification ?
Oui, mais uniquement quand la donnée contestée est réellement exacte et prouvée.
Vous devez alors répondre dans le mois en motivant clairement votre décision.
Indiquez à la personne son droit de saisir la CNIL et d’exercer un recours.
Un refus silencieux ou non motivé vous expose directement à une plainte.
Ne confondez jamais un refus motivé avec une absence pure et simple de réponse.
Documentez chaque décision : cette traçabilité prouve votre bonne foi lors d’un contrôle.
Gérer ces demandes à la main devient vite risqué dès que les fichiers et les outils se multiplient. Un DPO externalisé qui pilote vos demandes de droits sécurise vos délais, vos preuves et votre traçabilité. Vous répondez juste, dans les temps, sans mobiliser vos équipes.
FAQ
Le droit de rectification est-il gratuit ?
Oui, la rectification s’effectue sans frais pour la personne concernée. Vous ne pouvez facturer un montant raisonnable que dans les cas rares de demandes manifestement infondées ou excessives, notamment répétitives. La charge de la preuve pèse sur vous. En cas de contestation, la CNIL apprécie ce caractère abusif et peut vous sanctionner.
Que faire si la donnée est vraiment exacte ?
Vous pouvez refuser de modifier une donnée dont l’exactitude est établie et documentée. Répondez toujours dans le mois, en expliquant votre décision et les éléments retenus. Informez la personne de son droit de saisir la CNIL et d’introduire un recours. Conservez la trace écrite de cet échange pour votre défense.
Un salarié peut-il rectifier ses données RH ?
Oui, un salarié exerce ce droit sur ses données professionnelles inexactes, comme une adresse, un poste ou un numéro. L’employeur reste responsable de traitement et corrige sans délai. En revanche, une appréciation issue d’un entretien d’évaluation relève d’un jugement et ne se rectifie pas comme une simple erreur factuelle.
Faut-il tracer les demandes de rectification ?
Oui, conservez une trace de chaque demande, de sa date d’arrivée et de la suite donnée. Cette traçabilité démontre votre conformité lors d’un contrôle de la CNIL. Elle nourrit aussi votre pilotage interne et sécurise vos délais. Ne gardez toutefois pas ces preuves plus longtemps que nécessaire à cette finalité.
