Les droits des personnes : accès, rectification, effacement…

Les principaux droits

• Droit d'accès : obtenir la confirmation d'un traitement et une copie des données.
• Droit de rectification : faire corriger des données inexactes ou incomplètes.
• Droit à l'effacement (« droit à l'oubli ») : faire supprimer ses données dans certaines conditions.
• Droit d'opposition : s'opposer à un traitement, notamment à la prospection commerciale.
• Droit à la limitation : geler temporairement l'utilisation de ses données.
• Droit à la portabilité : récupérer ses données dans un format réutilisable.
• Droit sur les décisions automatisées : ne pas faire l'objet d'une décision purement automatique ayant un effet important.

Dans quels délais répondre

Vous devez répondre à une demande d'exercice de droits dans un délai d'un mois à compter de sa réception. Ce délai peut être prolongé de deux mois pour les demandes complexes ou nombreuses, à condition d'en informer la personne. L'absence de réponse expose à une plainte auprès de la CNIL.

Comment s'organiser pour répondre

Des droits qui ne sont pas absolus

Certains droits connaissent des limites. Vous pouvez par exemple refuser un effacement si la conservation est nécessaire au respect d'une obligation légale (comptabilité, facturation) ou à la constatation d'un droit en justice. L'essentiel est de motiver votre réponse : un refus doit être expliqué, jamais silencieux.

Le cas le plus fréquent : l'opposition à la prospection

En pratique, la demande la plus courante n'est pas un accès formel mais une simple opposition à la prospection commerciale : un destinataire clique sur « se désinscrire » en bas d'un e-mail, ou écrit pour ne plus être contacté. Ce droit d'opposition à la prospection est absolu — il ne se discute pas et ne peut pas être conditionné à un motif.

La bonne pratique est de traiter ces demandes immédiatement et techniquement, pas seulement humainement : retirer la personne de toutes les listes d'envoi actives (newsletter, relances commerciales, partenaires éventuels), et non uniquement de la campagne depuis laquelle la demande est arrivée. Un lien de désinscription qui ne fonctionne pas, ou qui ne couvre qu'une partie des envois, est une non-conformité fréquemment relevée.

Exemple illustratif : une demande d'effacement

Pour rendre le processus concret, voici un déroulé illustratif (générique, à adapter à votre organisation) d'une demande d'effacement reçue par e-mail :

• Jour 0 : réception de la demande à l'adresse de contact indiquée dans la politique de confidentialité. Un accusé de réception est envoyé.
• Jour 1-3 : vérification que la demande provient bien du titulaire du compte (par exemple en répondant depuis l'adresse e-mail associée au compte, sans exiger une pièce d'identité si le doute est faible).
• Jour 3-10 : recherche de toutes les données concernées (compte, historique de commandes, newsletter, sauvegardes) et vérification qu'aucune obligation légale n'impose de conserver certaines d'entre elles (ex. : factures à conserver pour la comptabilité).
• Jour 10-20 : suppression effective des données non soumises à une obligation de conservation, et réponse à la personne précisant ce qui a été supprimé et ce qui, le cas échéant, doit être conservé et pourquoi.
• Avant le jour 30 : la réponse complète est envoyée, dans le délai légal d'un mois.

Exemple illustratif : un refus motivé

Pour compléter l'exemple d'effacement, voici un cas où un refus partiel est légitime. Un client demande la suppression de toutes ses données après un achat. Les données de session et de navigation peuvent être supprimées immédiatement ; en revanche, les factures associées à cet achat doivent être conservées pendant la durée légale de conservation comptable, même si le client le demande. La réponse doit alors préciser explicitement ce qui a été supprimé (compte, historique de navigation) et ce qui est conservé, pourquoi, et jusqu'à quand.