Carte de fidélité, adresse IP, badge d’entrée au bureau : chaque jour, vous laissez des données personnelles, et le règlement général sur la protection des données (RGPD) encadre la façon dont les organisations les utilisent.
Ce guide pose les notions de base avec des exemples concrets, puis une méthode pour vérifier si une organisation respecte vos données et saisir la CNIL si besoin.
Une donnée personnelle désigne toute information qui permet de vous reconnaître
L’article 4 du RGPD définit la donnée à caractère personnel comme toute information se rapportant à une personne physique identifiée ou identifiable. Elle peut l’être directement ou indirectement, notamment par un nom, un numéro d’identification, des données de localisation, un identifiant en ligne ou des éléments propres à son identité physique, génétique, économique ou sociale.
Les données qui vous désignent directement
Votre nom et votre prénom sont l’exemple type. La CNIL cite aussi la photo, la voix, les empreintes digitales, l’adresse postale ou électronique. La définition est large : peu importe que l’information paraisse anodine.
Les données qui vous identifient indirectement
D’autres informations permettent de retrouver votre nom. La CNIL cite le numéro de téléphone, la plaque d’immatriculation, le numéro de sécurité sociale, l’adresse IP, l’identifiant d’un cookie ou les données d’usage d’une application.
L’identification peut aussi naître d’un recoupement : une adresse, une date de naissance et l’appartenance à une association, réunies, peuvent ne plus correspondre qu’à une seule habitante, selon l’exemple de la CNIL.
Pseudonymisées ou anonymes : une différence qui compte
Remplacer un nom par un numéro de dossier ne fait pas sortir les données du RGPD. Ces données pseudonymisées restent personnelles, car le procédé est réversible. Seules les données anonymisées de façon irréversible échappent au règlement.
Les données sensibles sont interdites de traitement, sauf exceptions
L’article 9 du RGPD interdit en principe de traiter les « catégories particulières de données », qui exposent à des discriminations. Ce sont les données qui révèlent :
- l’origine raciale ou ethnique ;
- les opinions politiques ;
- les convictions religieuses ou philosophiques ;
- l’appartenance syndicale ;
- les données génétiques et les données biométriques utilisées pour identifier une personne de manière unique ;
- les données concernant la santé, la vie sexuelle ou l’orientation sexuelle.
Le paragraphe 2 prévoit des exceptions, comme le consentement explicite ou les besoins de la médecine du travail et de la prise en charge sanitaire. Une application qui mesure votre rythme cardiaque ou une pointeuse à empreinte digitale exigent ainsi un cadre précis et une sécurité renforcée.
Six principes encadrent toute utilisation de vos données
L’article 5 du RGPD fixe les règles que toute organisation doit respecter, quelle que soit sa taille.
- Licéité, loyauté, transparence : vous savez ce qui est fait de vos données. Un jeu concours qui alimente en secret un fichier revendu enfreint ce principe.
- Limitation des finalités : les données servent un objectif déterminé et légitime, sans réutilisation incompatible. Le téléphone donné au livreur ne sert pas au démarchage.
- Minimisation : seules les données nécessaires sont demandées. Un formulaire d’inscription à une lettre d’information n’a pas besoin de votre date de naissance.
- Exactitude : les données sont exactes et tenues à jour.
- Limitation de la conservation : les données ne sont pas gardées plus longtemps que nécessaire. Un vieux CV n’a plus à dormir dans une boîte de réception.
- Intégrité et confidentialité : une sécurité appropriée protège les données. Un tableur de salaires partagé par lien public en est le contre-exemple.
Le paragraphe 2 de l’article 5 ajoute un septième principe, souvent oublié : la responsabilité. L’organisation doit être en mesure de démontrer qu’elle respecte ces règles. Pour un dirigeant, cela suppose des preuves : un registre des traitements, des procédures écrites, la trace des décisions prises.
Chaque traitement doit reposer sur l’une des six bases légales
Une organisation ne peut utiliser vos données que si elle s’appuie sur l’une des six bases légales de l’article 6 du RGPD, choisie avant de commencer et indiquée dans son information.
- Le consentement : vous avez accepté, librement et pour un usage précis, par exemple une lettre d’information commerciale.
- Le contrat : le traitement est nécessaire à un contrat auquel vous êtes partie, comme votre adresse pour livrer une commande.
- L’obligation légale : un texte impose le traitement, comme la conservation des factures.
- La sauvegarde des intérêts vitaux : il faut protéger la vie de la personne, par exemple en informant les secours lors d’un malaise.
- La mission d’intérêt public : le traitement sert une mission de service public, comme les inscriptions à la cantine gérées par une mairie.
- L’intérêt légitime : l’organisation poursuit un intérêt légitime qui ne l’emporte pas sur vos droits, comme la sécurité de son réseau informatique.
Le consentement n’est qu’une base parmi d’autres. Faire signer un « consentement RGPD » pour des traitements fondés sur le contrat ou la loi est une erreur fréquente : la personne croit pouvoir retirer son accord, alors que le traitement continuera.
Vos droits et la façon de les exercer, avec les délais de réponse
Vos droits s’exercent gratuitement auprès de l’organisation qui détient vos données. Selon l’article 12 du RGPD, la réponse doit intervenir dans les meilleurs délais et au plus tard dans un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois en raison de la complexité ou du nombre de demandes, si l’organisation vous en informe, motifs à l’appui, dans le premier mois.
| Droit | Ce que vous pouvez demander | Délai de réponse |
|---|---|---|
| Accès | Une copie de vos données, avec les finalités, destinataires, durée de conservation et origine (article 15). | 1 mois, prolongeable de 2 mois |
| Rectification | La correction d’une donnée inexacte, comme une adresse erronée (article 16). | 1 mois, prolongeable de 2 mois |
| Effacement | La suppression de vos données, notamment après retrait du consentement ou si elles ne sont plus nécessaires (article 17). | 1 mois, prolongeable de 2 mois |
| Opposition | L’arrêt d’un traitement pour des raisons tenant à votre situation, et de la prospection sans justification (article 21). | 1 mois ; prospection : dans les meilleurs délais |
| Portabilité | Les données fournies, dans un format lisible par machine, si le traitement automatisé repose sur le consentement ou un contrat (article 20). | 1 mois, prolongeable de 2 mois |
Formuler une demande efficace
La politique de confidentialité de l’organisation indique l’adresse ou le formulaire à utiliser, et les coordonnées de son délégué à la protection des données s’il existe. Précisez le droit exercé et gardez une copie de tout : captures d’écran, courriels, accusé de réception. La CNIL propose des modèles de courrier.
Un justificatif d’identité ne peut être exigé qu’en cas de doute raisonnable, et jamais de façon disproportionnée. Réclamer une carte d’identité recto verso pour une simple désinscription n’a pas de justification.
Les limites à connaître avant de demander
L’effacement peut être refusé lorsqu’une obligation légale impose de conserver les données : fermer un compte client ne fait pas disparaître les factures, gardées dix ans, rappelle la CNIL. L’opposition peut être écartée pour des motifs légitimes et impérieux démontrés, sauf en matière de prospection. Une demande manifestement infondée ou excessive peut être refusée, à charge pour l’organisation de le prouver.
La CNIL contrôle les organisations et peut infliger des amendes
En France, l’autorité de contrôle est la Commission nationale de l’informatique et des libertés (CNIL). Elle conseille, reçoit les plaintes, contrôle et peut sanctionner par sa formation restreinte.
Des mesures graduées, du rappel à l’ordre à l’amende
La formation restreinte peut prononcer un rappel à l’ordre, ordonner une mise en conformité sous astreinte jusqu’à 100 000 euros par jour de retard, limiter ou interdire un traitement, et infliger une amende. Elle peut aussi rendre sa décision publique.
Les plafonds fixés par l’article 83 du RGPD
- Jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, pour les manquements aux principes (articles 5 à 7 et 9) et aux droits des personnes (articles 12 à 22).
- Jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, pour les manquements aux obligations comme la sécurité, le registre ou la désignation d’un délégué à la protection des données.
Ignorer une demande d’accès ou d’effacement relève donc de la tranche la plus haute. Pour une illustration côté cookies, voir la sanction Fnac sur le respect du refus des cookies.
Trois vérifications pour savoir si une organisation respecte vos données
Trois tests, accessibles sans connaissance particulière, donnent une image assez fidèle du sérieux d’une organisation.
Lire les mentions d’information
Ce que vous voyez : une politique de confidentialité ou un encart sous un formulaire. Ce qu’elle doit contenir (article 13 du RGPD) :
- l’identité de l’organisation et le contact de son délégué à la protection des données ;
- les finalités de chaque traitement et la base légale retenue ;
- les destinataires et les transferts hors de l’Union européenne ;
- la durée de conservation ;
- vos droits, la possibilité de retirer votre consentement et celle de saisir la CNIL.
Ce que cela signifie : un texte générique, sans durée de conservation ni contact identifiable, est souvent un modèle recopié. La version conforme est spécifique et donne un moyen concret d’exercer vos droits.
Observer le bandeau cookies
La version conforme, d’après les recommandations de la CNIL, présente un bouton « Tout refuser » au même niveau et avec le même aspect que « Tout accepter ». Un refus caché derrière « Paramétrer » ne suffit pas, et poursuivre la navigation sans choisir vaut refus. Les cookies indispensables, comme celui du panier, restent permis.
Comment vérifier : refusez, puis cherchez sur la page un lien du type « Gérer mes cookies ». Retirer son consentement doit être aussi simple que le donner. Sans lien permanent, le site a facilité le oui et compliqué le non.
Tester avec une demande d’accès
À notre avis, c’est le test le plus révélateur. Écrivez à une organisation dont vous êtes client. Une organisation sérieuse répond dans le mois, gratuitement, avec une copie de vos données et les informations de l’article 15 : finalités, destinataires, durée de conservation, origine. Signaux d’alerte : silence, réponse partielle non expliquée, pièces disproportionnées exigées. Les données déduites, comme un score, entrent aussi dans le champ (voir notre article sur le profilage et le droit d'accès).
Déposer une plainte auprès de la CNIL, étape par étape
L’article 77 du RGPD donne à toute personne le droit d’introduire une réclamation auprès d’une autorité de contrôle. La CNIL demande de passer d’abord par l’organisation concernée.
- Exercez d’abord votre droit auprès de l’organisation ou de son délégué à la protection des données, et conservez la preuve de votre demande. Une réponse incomplète se conteste d’abord auprès d’elle.
- Attendez un mois. Sans réponse ni annonce de prolongation, vous pouvez saisir la CNIL.
- Préparez votre dossier : une plainte rédigée en français, le nom, les coordonnées et le numéro SIREN de l’organisation, votre identité, un exposé des faits et la copie des pièces utiles (courriers, captures d’écran, adresse de la page en cause).
- Déposez la plainte en ligne via le service de plainte de la CNIL, avec un compte qui permet de suivre le dossier, ou par courrier à la CNIL, Service des plaintes, 3 place de Fontenoy, 75007 Paris.
La CNIL s’engage à vous informer de l’avancement au moins tous les trois mois. Contre une clôture, un recours gracieux auprès de sa présidente est possible dans les deux mois, puis le Conseil d’État. Une plainte à la CNIL ne vaut pas plainte pénale.
Quiz : testez ce que vous avez retenu
Choisissez la réponse qui vous semble juste.
Non, elle désigne un véhicule.
Oui, elle permet de retrouver son titulaire.
Seulement à côté de votre nom.
15 jours.
1 mois.
3 mois.
Acceptation.
Refus.
Rien de particulier.
Avoir écrit à l’organisme et gardé la preuve.
Porter plainte au commissariat.
Voir le barème de votre score
- 4 bonnes réponses : vous savez faire valoir vos droits.
- 2 ou 3 bonnes réponses : relisez la partie sur les droits.
- 0 ou 1 bonne réponse : reprenez le guide depuis la définition.
Sources
- CHAPITRE I – Dispositions générales (RGPD)
- CHAPITRE II – Principes (RGPD)
- CHAPITRE III – Droits de la personne concernée (RGPD)
- CHAPITRE VIII – Voies de recours, responsabilité et sanctions (RGPD)
- Identifier les données personnelles
- Le droit d’accès : connaître les données qu’un organisme détient sur vous
- Droit de rectification
- Le droit à l’effacement : supprimer vos données en ligne
- Le droit d’opposition : refuser l’utilisation de vos données
- Le droit à la portabilité : obtenir et réutiliser une copie de vos données
- Exercice des droits Informatique et Libertés : dans quel délai doit-on me répondre ?
- Questions-réponses sur les lignes directrices modificatives et la recommandation « cookies et autres traceurs » de la CNIL
- Évolution des règles d’utilisation des cookies : quels changements pour les internautes ?
- Les pouvoirs de la formation restreinte
- Adresser une plainte à la CNIL