Toute personne dont vous traitez les données peut vous demander d'y accéder, de les corriger, de les effacer ou de s'y opposer. Le RGPD impose à l'organisme un délai, une gratuité de principe et une réponse motivée en cas de refus.
La plupart des contenus présentent le droit des personnes RGPD du point de vue du citoyen qui souhaite l'exercer. Ce guide prend l'angle inverse : celui de l'organisme qui reçoit la demande et doit la traiter dans les délais, en gardant une trace. Il s'appuie sur le texte du RGPD publié par la CNIL et sur les lignes directrices du CEPD. Pour les bases légales, voir nos règles et principes du RGPD.
Chapitre 01 — Les droits à connaître
Quels droits une personne peut-elle invoquer auprès de vous ?
Les articles 15 à 22 du RGPD ouvrent sept droits : accès, rectification, effacement, limitation, portabilité, opposition et garanties face aux décisions automatisées.
| Droit invoqué | Ce que vous devez faire | Point de vigilance |
|---|---|---|
| Accès (art. 15) | Confirmer le traitement, fournir une copie des données et les informations de l'article 15.1 | Première copie gratuite ; frais raisonnables possibles au-delà (art. 15.3) |
| Rectification (art. 16) | Corriger ou compléter les données dans les meilleurs délais | Notifier la correction aux destinataires (art. 19) |
| Effacement (art. 17) | Effacer si l'un des motifs de l'article 17.1 s'applique | Exceptions de l'article 17.3 : obligation légale, défense d'un droit en justice |
| Limitation (art. 18) | Conserver sans traiter ; informer la personne avant de lever la limitation | Fréquente pendant une contestation d'exactitude |
| Portabilité (art. 20) | Remettre les données fournies par la personne dans un format lisible par machine | Traitements automatisés fondés sur le consentement ou un contrat |
| Opposition (art. 21) | Cesser le traitement, sauf motifs légitimes et impérieux | Pour la prospection, l'opposition ne se discute pas (art. 21.3) |
| Décision automatisée (art. 22) | Prévoir une intervention humaine et permettre de contester | Exceptions : contrat, consentement explicite, texte légal |
Ces droits RGPD s'appliquent à tout organisme, public ou privé ; le droit à l'information (articles 13 et 14) s'exerce en amont.
Chapitre 02 — Le circuit de traitement
Comment traiter une demande, de la réception à la réponse ?
Une demande se traite en six étapes : réception, qualification, vérification de l'identité, recherche, réponse et traçabilité. L'article 12.2 du RGPD impose de faciliter l'exercice des droits : le circuit reste simple pour la personne.
- 1Réceptionner — Identifiez toute demande, quel que soit le canal : courrier, e-mail, formulaire, réseaux sociaux, guichet ou téléphone.
- 2Qualifier — Déterminez quel droit est invoqué, sur quelles données et pour quel traitement.
- 3Vérifier l'identité — Confirmez que le demandeur est la personne concernée, avec des moyens proportionnés à la sensibilité des données.
- 4Rechercher — Interrogez tous les systèmes concernés : CRM, messagerie, outils RH, sauvegardes, sous-traitants.
- 5Répondre — Rédigez une réponse claire, par voie électronique si la demande est arrivée ainsi.
- 6Tracer — Consignez la demande, les actions menées et la date de réponse dans votre registre.
Les lignes directrices 01/2022 du CEPD rappellent qu'une personne n'est pas tenue d'utiliser un formulaire dédié : un message à un commercial peut valoir demande. Former les équipes en contact avec le public est la première brique d'un dispositif de droit des personnes RGPD qui fonctionne.
L'article 12.6 n'autorise une demande d'informations complémentaires qu'en cas de doutes raisonnables sur l'identité. La CNIL précise, sur sa page Professionnels : comment répondre à une demande de droit d'accès, que la justification peut intervenir par tout moyen, selon la sensibilité des données. Exiger une pièce d'identité à chaque demande est disproportionné : un compte client ou une adresse e-mail connue suffit souvent.
Chapitre 03 — Délais et gratuité
Quel délai et quel coût pour répondre ?
Vous disposez d'un mois à compter de la réception de la demande pour informer la personne des mesures prises (article 12.3 du RGPD). Ce délai peut être prolongé de deux mois pour une demande complexe ou en cas de demandes nombreuses, à condition d'en avertir la personne dans le premier mois. Le délai court dès la réception : un complément d'identité se demande dès les premiers jours.
Sur la gratuité, l'article 12.5 est explicite : aucun paiement n'est exigé pour répondre à une demande fondée sur les articles 15 à 22. Deux aménagements existent : des frais raisonnables pour toute copie supplémentaire (article 15.3), et, pour une demande manifestement infondée ou excessive, notamment répétitive, des frais raisonnables ou un refus (article 12.5). C'est à vous de démontrer ce caractère.
Une demande électronique appelle une réponse électronique, sauf demande contraire (article 12.3) : une règle de droit des personnes RGPD souvent oubliée.
Chapitre 04 — Refus et recours
Quand pouvez-vous refuser une demande ?
Un refus n'est possible que dans les cas prévus par le texte : identité non établie, demande manifestement infondée ou excessive, ou exception propre au droit invoqué. Il est notifié dans le mois, motivé, avec l'information sur les voies de recours (article 12.4).
- Vous ne parvenez pas à identifier la personne malgré une demande d'informations complémentaires (articles 11 et 12.2).
- La demande est manifestement infondée ou excessive (article 12.5). Selon la CNIL, ce sont les demandes multiples et rapprochées qui le deviennent, pas une simple copie déjà fournie.
- Le droit invoqué connaît une exception : obligation légale ou défense en justice pour l'effacement (article 17.3), motifs légitimes et impérieux pour l'opposition (article 21.1), données non fournies par la personne pour la portabilité (article 20.1).
« Si le responsable du traitement ne donne pas suite à la demande formulée par la personne concernée, il informe celle-ci sans tarder et au plus tard dans un délai d'un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel. »
Un refus partiel suit la même règle : expliquez ce qui est retenu et pourquoi. Le silence vaut inaction : l'article 83.5 du RGPD place les atteintes aux droits des personnes dans la tranche d'amende la plus élevée, jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. Un dispositif de droit des personnes RGPD documenté est ce qu'une autorité de contrôle examine lorsqu'elle instruit une plainte.
Chapitre 05 — Traçabilité et registre
Pourquoi tenir un registre des demandes ?
Le principe de responsabilité (article 5.2 du RGPD) vous impose de démontrer le respect de ses principes ; un registre des demandes apporte cette preuve. Le texte ne l'impose pas, mais la CNIL recommande, sur sa page Respecter les droits des personnes, un parcours interne formalisé.
Consignez pour chaque demande : date de réception et canal, droit invoqué, vérifications d'identité, réponse et date, prolongation et motif, notifications aux destinataires (article 19). N'y recopiez pas les données communiquées : le registre trace l'action, pas son contenu.
Vos sous-traitants doivent vous aider à répondre (article 28.3 du RGPD) : notez quand vous les sollicitez.
Avant toute demande
Pendant le traitement
Après la réponse
À retenir
- Sept droits (articles 15 à 22) déclenchent chacun une obligation précise pour l'organisme.
- Une demande est valable quel que soit le canal ; la vérification d'identité reste proportionnée.
- Un mois pour répondre, prolongeable de deux mois si la personne en est informée ; réponse gratuite sauf exceptions.
- Un refus est motivé, notifié dans le mois, et indique les voies de recours.
- Un registre des demandes prouve le respect du droit des personnes RGPD au titre du principe de responsabilité.
Définitions utiles
Tout le lexique RGPD- CNILLa CNIL, Commission nationale de l'informatique et des libertés, est l'autorité administrative indépendante chargée en France de veiller à la protection des données personnelles. Elle conseille, contrôle et sanctionne.
- Registre des traitementsLe registre des traitements est le document, tenu par écrit, qui recense l'ensemble des traitements de données personnelles d'un organisme : finalités, catégories de données et de personnes, destinataires, durées de conservation et mesures de sécurité.
- Droits des personnesLes droits des personnes sont les prérogatives que le RGPD accorde à chaque individu sur ses données : être informé, y accéder, les rectifier, les effacer, s'opposer à leur traitement, en limiter l'usage ou les récupérer.
- AccountabilityL'accountability, ou principe de responsabilité, oblige l'organisme non seulement à respecter le RGPD, mais aussi à être en mesure de démontrer cette conformité à tout moment, par une documentation et des mesures adaptées.
- Autorité de contrôleUne autorité de contrôle est l'autorité publique indépendante qu'un État membre de l'Union européenne charge de surveiller l'application du RGPD sur son territoire. En France, il s'agit de la CNIL.
- CEPDLe CEPD (Comité européen de la protection des données) est l'organe de l'Union qui réunit les autorités de protection des données des États membres, dont la CNIL, pour veiller à une application cohérente du RGPD dans toute l'Europe.
À vous de jouer
La conformité n'attend pas le prochain contrôle.
Vous avez la méthode. Pour la mettre en œuvre sans y passer des semaines, faites le point avec une juriste dédiée : 30 minutes pour identifier vos écarts et repartir avec un plan d'action clair.
