Guide pratique — RGPD et droits des personnes
Accès, rectification, effacement, opposition, portabilité… : le RGPD donne à vos clients et visiteurs huit droits sur leurs données. Ce qu'ils recouvrent concrètement, comment y répondre sous un mois sans jargon ni logiciel — et ce que risque une entreprise qui fait la sourde oreille.
Le chapitre III du RGPD (articles 12 à 23) garantit huit droits aux personnes dont vous traitez les données : accès (article 15), rectification (16), effacement ou « droit à l'oubli » (17), limitation du traitement (18), opposition (21 — absolue pour la prospection commerciale), portabilité (20), retrait du consentement à tout moment (7.3) et directives post-mortem (85, précisé par la loi Informatique et Libertés). Ces droits s'exercent gratuitement, vous devez répondre sous un mois (prolongeable de deux mois si la demande est complexe), vérifier l'identité du demandeur en cas de doute, et mentionner ces droits dans votre politique de confidentialité (article 13). Ignorer une demande expose à une plainte à la CNIL et relève du niveau de sanctions le plus élevé : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires (article 83.5).
Le RGPD part d'une idée simple : quand vous collectez le nom, l'adresse e-mail ou le numéro de téléphone d'un client, ces données restent les siennes. Le règlement européen 2016/679 lui reconnaît donc un contrôle permanent sur ce que vous en faites, matérialisé par les droits du chapitre III (articles 12 à 23).
Ces droits ne sont pas réservés aux grandes entreprises ni aux « gros » traitements : ils s'appliquent dès la première donnée personnelle — un formulaire de contact sur le site d'un artisan suffit. Concrètement, n'importe quel client, prospect ou visiteur peut vous écrire pour demander ce que vous savez de lui, exiger une correction, demander la suppression de son compte ou s'opposer à recevoir vos e-mails. Et vous êtes tenu d'y répondre, gratuitement et dans des délais stricts.
Bonne nouvelle : pour une TPE, gérer ces demandes n'exige ni logiciel ni juriste. Une adresse e-mail de contact, une procédure simple et un peu de rigueur suffisent — le reste est une question d'organisation, détaillée plus bas.
Toute personne peut vous demander si vous détenez des données sur elle et en obtenir une copie. Un client peut ainsi exiger la liste de tout ce que vous avez enregistré : coordonnées, historique de commandes, échanges d'e-mails, notes dans votre logiciel de devis. Vous devez aussi lui indiquer les finalités du traitement, les destinataires des données et leur durée de conservation.
Une adresse erronée, un nom mal orthographié, un numéro obsolète : la personne peut exiger que ses données inexactes soient corrigées, ou complétées si elles sont incomplètes. C'est le droit le plus simple à satisfaire — une mise à jour dans votre fichier suffit — et à documenter.
Une personne peut demander la suppression de ses données : fermeture de son compte client, retrait de votre fichier de prospection, effacement de ses coordonnées dans votre tableur. Le droit n'est pas absolu : il cède devant vos obligations légales de conservation — les factures et pièces comptables doivent être conservées 10 ans, par exemple. On efface ce qui peut l'être, et on explique le reste par écrit.
La personne peut demander de geler l'utilisation de ses données, sans les effacer : pendant qu'une rectification est vérifiée, ou quand elle s'est opposée à un traitement et attend votre réponse. Les données restent stockées mais vous ne pouvez plus les utiliser, sauf exception. En pratique : on marque la fiche « ne pas utiliser » et on la laisse de côté.
Toute personne peut s'opposer à un traitement fondé sur votre intérêt légitime, pour des raisons tenant à sa situation particulière. Point capital pour les commerçants : l'opposition à la prospection commerciale est absolue, sans condition ni justification. Dès qu'un destinataire demande à ne plus recevoir vos e-mails ou vos courriers publicitaires, vous devez le retirer de vos listes — immédiatement et durablement. C'est d'ailleurs le rôle du lien de désinscription obligatoire dans chaque e-mail de prospection.
Pour les données fournies par la personne et traitées de manière automatisée — sur la base de son consentement ou d'un contrat —, elle peut demander à les récupérer dans un format structuré et lisible par machine (un fichier CSV, par exemple), ou à ce qu'elles soient transmises directement à un autre organisme. Pour une TPE, cela se traduit rarement : le cas typique est un client qui veut récupérer l'historique de ses commandes pour changer de prestataire.
Chaque fois qu'un traitement repose sur le consentement — inscription à une newsletter, cookies non essentiels, publication d'un témoignage client avec son nom —, la personne peut le retirer à tout moment. Et le RGPD l'exige avec une formule claire : retirer son consentement doit être aussi simple que de le donner. Un clic pour s'inscrire appelle un clic pour se désinscrire.
Spécificité française : toute personne peut définir des directives sur le sort de ses données après son décès (conservation, effacement, communication à un proche). Ces directives peuvent être générales — enregistrées auprès d'un tiers de confiance certifié — ou particulières, adressées à chaque responsable de traitement. En pratique pour une TPE : en cas de décès d'un client, un héritier dûment justifié peut demander l'accès ou l'effacement de ses données, et vous devez pouvoir y répondre.
Références : règlement (UE) 2016/679, articles 7.3, 12 à 22 et 85 ; loi Informatique et Libertés du 6 janvier 1978 modifiée (directives post-mortem) ; site de la CNIL (cnil.fr), fiches « Les droits pour maîtriser vos données ».
Le RGPD ne se contente pas de créer des droits : il encadre précisément la manière dont vous devez y répondre. Quatre règles, toutes dans l'article 12 :
Dernière obligation, en amont : ces droits doivent être mentionnés dans votre politique de confidentialité. L'article 13 impose d'informer chaque personne, au moment de la collecte, de l'existence de ses droits et des modalités pour les exercer — ainsi que de son droit d'introduire une plainte auprès de la CNIL. Une politique de confidentialité qui omet ce volet est incomplète, donc non conforme.
Le mécanisme de contrôle est redoutablement simple : toute personne qui s'estime lésée peut saisir la CNIL, gratuitement et en quelques clics (article 77 du RGPD — en pratique, via le formulaire de plainte en ligne de la CNIL). Une demande d'accès ou d'effacement restée sans réponse un mois est un motif de plainte classique, et la CNIL contrôle systématiquement sur plainte. La désinscription à la prospection ignorée est l'autre grand générateur de saisines.
Côté sanctions, les droits des personnes ne sont pas un sujet mineur : le manquement aux articles 15 à 22 relève du niveau le plus élevé prévu par l'article 83.5 — une amende administrative pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel (le montant le plus élevé). C'est le même plafond que pour la violation des principes du RGPD : le texte place le respect des droits au même rang que les fondations du règlement.
Pour une TPE, le scénario réaliste reste gradué : plainte d'un client, contrôle, rappel à l'ordre ou mise en demeure de répondre — parfois publique, avec le nom de l'entreprise. Mais c'est un manquement trivial à constater (il suffit d'un courrier sans réponse) et tout aussi simple à éviter : une adresse de contact fonctionnelle, une réponse datée sous un mois, et une trace écrite de ce qui a été fait. Le kit MonKitLégal couvre la face visible de cette conformité : la politique de confidentialité générée liste les droits des personnes et les modalités concrètes pour les exercer, comme l'article 13 l'exige.
Le chapitre III du RGPD (articles 12 à 23) organise huit droits : le droit d'accès (obtenir la copie de ses données, article 15), le droit de rectification (corriger des données inexactes, article 16), le droit à l'effacement ou « droit à l'oubli » (faire supprimer ses données, article 17), le droit à la limitation du traitement (geler l'utilisation des données, article 18), le droit à la portabilité (recevoir ses données dans un format réutilisable, article 20), le droit d'opposition (refuser un traitement, absolu pour la prospection commerciale, article 21), le droit de retirer son consentement à tout moment (article 7.3), et le droit de définir des directives sur le sort de ses données après son décès (article 85 du RGPD et loi Informatique et Libertés). Tous s'exercent gratuitement, et vous devez y répondre sous un mois.
Oui, en principe : c'est le droit à l'effacement de l'article 17 du RGPD. Le client peut demander la suppression de son compte, de son adresse dans votre fichier de prospection ou de ses coordonnées dans votre tableur. Mais le droit n'est pas absolu : vous pouvez (et devez) refuser l'effacement des données que la loi vous oblige à conserver — les factures et pièces comptables, par exemple, doivent être gardées 10 ans (article L123-22 du Code de commerce). Dans ce cas, vous effacez ce qui peut l'être et vous expliquez par écrit pourquoi le reste est conservé, et pour combien de temps. Ignorer la demande est un manquement ; effacer des données légalement obligatoires en serait un autre.
Un mois à compter de la réception de la demande (article 12.3 du RGPD). Ce délai peut être prolongé de deux mois supplémentaires si la demande est complexe ou si les demandes sont nombreuses, à condition d'informer la personne de cette prolongation — et des raisons — dans le mois initial. En pratique, pour une TPE, la plupart des demandes (copie d'un fichier client, désinscription, suppression d'un compte) se traitent en quelques jours : visez une réponse rapide, c'est le meilleur moyen d'éviter l'escalade vers une plainte à la CNIL.
Non, en principe : l'exercice des droits est gratuit (article 12.5 du RGPD). Deux exceptions étroites existent : si les demandes sont manifestement infondées ou excessives — notamment parce qu'elles sont répétitives —, vous pouvez exiger le paiement de frais raisonnables correspondant aux coûts administratifs, ou refuser d'y donner suite. Mais c'est à vous de démontrer le caractère manifestement infondé ou excessif, ce qui est rarement recevable pour un premier courrier. Un client qui demande une fois la copie de ses données, ou sa désinscription, n'entre jamais dans ce cas : la réponse doit être gratuite et sous un mois.
Le mépris des droits des personnes (articles 15 à 22) relève du niveau de sanctions le plus élevé du RGPD : l'article 83.5 prévoit une amende administrative pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel. Surtout, chaque personne peut saisir la CNIL gratuitement (article 77) si elle n'a pas reçu de réponse sous un mois — et la CNIL contrôle systématiquement sur plainte. Le déroulé réaliste pour une TPE : contrôle à la suite de la plainte, rappel à l'ordre ou mise en demeure de répondre, parfois publique. C'est l'un des manquements les plus simples à éviter : une réponse claire, datée et dans les délais suffit à le désamorcer.
Le scan gratuit liste ce que votre site collecte en 2 minutes. Le kit à 9 € génère ensuite la politique de confidentialité qui liste les droits et les modalités pour les exercer — registre pré-rempli, mentions légales, CGU/CGV et bandeau cookies inclus.
Analyser mon site gratuitement