Droits des Personnes RGPD

Les 8 droits des personnes dans le RGPD

Le RGPD accorde 8 droits aux personnes concernées : (1) Information (art. 13/14) — politique de confidentialité complète au moment de la collecte ; (2) Accès (art. 15) — copie des données personnelles détenues, délai 1 mois ; (3) Rectification (art. 16) — correction des données inexactes ou incomplètes, délai 1 mois ; (4) Effacement/Oubli (art. 17) — suppression des données dans les cas prévus (retrait consentement, fin de finalité, traitement illicite) ; (5) Limitation (art. 18) — gel du traitement pendant contestation ; (6) Portabilité (art. 20) — données en format structuré (CSV, JSON) transférables à un autre RT (s'applique aux seuls traitements basés sur consentement ou contrat, automatisés) ; (7) Opposition (art. 21) — opposition au traitement pour motifs liés à la situation particulière, et opposition absolue au marketing direct ; (8) Non-profilage (art. 22) — refus des décisions 100% automatisées avec effets légaux.

Des droits supplémentaires s'appliquent aux données des mineurs (consentement parental pour les enfants en dessous d'un âge défini par chaque État membre — 15 ans en France), aux catégories particulières de données (art. 9 — sensibles), et aux situations de transfert hors UE (information sur les garanties appropriées).

Gestion des demandes et délais

Le RT doit répondre aux demandes d'exercice de droits dans le délai d'un mois (art. 12), extensible à 2 mois pour les demandes complexes ou nombreuses avec notification à la personne. La réponse doit être gratuite, sauf si la demande est manifestement infondée ou excessive (plusieurs demandes répétées sans raison valable) — dans ce cas, le RT peut facturer des frais raisonnables ou refuser.

La vérification de l'identité du demandeur est obligatoire pour protéger les personnes contre l'exercice frauduleux de leurs droits par des tiers. Cette vérification doit être proportionnée : ne pas demander plus d'informations que nécessaire. En ligne, un formulaire sécurisé avec authentification (compte client) est généralement suffisant. Pour les demandes par courrier, une copie de pièce d'identité peut être demandée.

Cas particuliers et exceptions aux droits

Les droits des personnes ne sont pas absolus. Le droit à l'effacement ne s'applique pas quand le traitement est nécessaire à l'exercice de la liberté d'expression, au respect d'une obligation légale, à l'intérêt public (archives, recherche), ou à la constatation/défense de droits en justice. Le droit d'accès peut être limité si la réponse porte atteinte aux droits et libertés d'autres personnes (ex. : ne pas divulguer l'identité d'autres personnes présentes dans les données).

En cas de refus de répondre à une demande ou de réponse insatisfaisante, la personne peut saisir la CNIL (qui peut déclencher un contrôle) ou le tribunal judiciaire. La CNIL dispose d'un délai de 3 mois pour traiter les plaintes et peut contacter le RT pour obtenir des explications. Les sanctions pour non-respect des droits des personnes peuvent atteindre 20 M€ ou 4% du CA mondial.