Protection des données personnelles : quels sont vos droits et comment les exercer ?

Qu’est-ce qu’une donnée personnelle ?

Une donnée à caractère personnel (couramment appelée « donnée personnelle ») désigne toute information se rapportant à une personne physique identifiée ou identifiable.

Cela inclut des données telles que votre nom, prénom, courriel, numéro de téléphone, numéro de carte d’identité, mais aussi des éléments indirects permettant de vous identifier, comme une adresse IP ou une donnée de géolocalisation.

Traitement des données : de quoi parle-t-on ?

Comme le rappelle la Commission nationale de l'Informatique et des Libertés (CNIL), le traitement de données personnelles consiste en « toute opération portant sur des données personnelles, quel que soit le procédé utilisé (collecte, enregistrement, organisation, conservation…) ».

Un traitement de données à caractère personnel peut être informatisé ou prendre la forme d’un fichier papier. 

Il doit répondre à une finalité précise, définie avant la collecte et l’utilisation des données.

Données personnelles : quel cadre juridique en France et en Europe ?

En France, la protection des données personnelles est encadrée par la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

Cette loi a été modifiée par la loi du 20 juin 2018 relative à la protection des données personnelles afin de l’adapter aux dispositions du Règlement général sur la protection des données (RGPD), applicable dans toute l’Union européenne depuis le 25 mai 2018.

Le RGPD harmonise les règles entre les États-membres et garantit un niveau élevé de protection des données, en renforçant notamment le contrôle que les citoyens européens peuvent exercer sur l’utilisation de leurs données personnelles.

Collecte des données : quels sont vos droits ?

Les professionnels sont tenus de vous informer de la collecte de vos données personnelles ainsi que de l’usage qui en est fait. Vous pouvez également faire valoir  vos droits afin de garder le contrôle sur les informations que vous partagez.

Droit d’être informé

Tout organisme qui collecte vos données doit vous fournir une information claire, complète et accessible sur l’utilisation qui sera faite de vos droits, et les moyens de les exercer.

Ce droit se caractérise de trois manières : 

1. Vous avez facilement accès à l’information. L’entreprise doit vous dire de manière la plus claire, précise et lisible possible, pourquoi et dans quel but elle collecte vos données, comment les maîtriser et exercer vos droits.
2. Une lecture suffit pour avoir un bon aperçu de l’utilisation qui sera faite de vos données. Chaque entreprise doit vous proposer une notice d’information sur la protection de vos données. Cette page doit être accessible depuis la page d’accueil du site de l’organisme sous un intitulé clair.
3. Vous devez rester bien informé à tout moment, surtout si la sécurité de vos données est compromise. Elle dispose de 72 heures pour vous en informer et signaler toute violation à la CNIL.

Droit d'accès

Le droit d’accès vous permet de savoir précisément quelles données un organisme détient sur vous. 

Vous pouvez demander, gratuitement et facilement, une copie complète de ces données ainsi que des informations sur les finalités de leur traitement, les destinataires de ces données, et leur durée de conservation. (article 15 du RGPD).

Droit à la portabilité

Le droit à la portabilité, vous permet d’obtenir vos données personnelles dans un format structuré, couramment utilisé et lisible par machine (par exemple : fichier CSV ou JSON) , pour un usage personnel ou un transfert vers un autre service.

Droit de rectification

Si vous constatez que des données vous concernant sont incorrectes, incomplètes ou obsolètes, vous pouvez demander au responsable du traitement qu'elles soient rectifiées, complétées ou mises à jour. (article 40 de la loi « Informatique et Libertés »). Il est tenu de mettre à jour ou rectifier ces informations dans un délai raisonnable (au plus tard dans un délai d’un mois).

Si l’entreprise a des doutes raisonnables sur votre identité, elle peut vous demander de joindre tout document permettant de prouver votre identité pour éviter les usurpations d’identité. 

En savoir plus sur ce droit. 

Droit d'opposition

Vous pouvez vous opposer à tout moment à ce qu’un organisme utilise certaines de vos données, notamment dans le cadre de prospections commerciales, d’analyse comportementale, etc.

Votre demande doit être formulée par écrit ou par courriel, en précisant les traitements auxquels vous vous opposez. L’organisme devra interrompre l’utilisation de vos données, sauf s’il justifie d’un motif légitime et impérieux (par exemple, des obligations légales).

Droit à l'effacement (ou « droit à l’oubli ») 

Ce droit vous permet de demander la suppression totale ou partielle de vos données personnelles lorsque : 

• celles-ci ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées,
• vous retirez votre consentement,
• le traitement est illicite, etc.

Certaines données peuvent être néanmoins être conservées pour des raisons légales ou contractuelles, mais vous devez en être informé.

Droit à la limitation du traitement

Ce droit permet de suspendre temporairement l’utilisation de vos données, notamment :

• si vous contestez leur exactitude,
• si vous souhaitez conserver des données que l’entreprise doit supprimer (par exemple, dans de vidéosurveillance, où les images doivent être effacées au bout d’un mois.)

Droit au déréférencement

Vous pouvez demander à ce que certains résultats liés à votre nom soient retirés des moteurs de recherche, lorsque les contenus sont obsolètes, inappropriés ou portent atteinte à vos droits.

Attention : cette démarche ne supprime pas les données à la source, mais rend leur accès plus difficile via les moteurs de recherche.

En savoir plus sur ce droit

Droits liés au profilage et aux décisions automatisées

Le profilage correspond à l’analyse automatique de vos données pour prédire un comportement ou prendre une décision vous concernant (exemple : ciblage publicitaire).

Vous pouvez ainsi : 

• refuser toute décision automatisée ayant des conséquences importantes pour vous (sauf si vous avez donné votre accord ou des dispositions légales spécifiques l’autorisent),
• demander l’intervention humaine dans la prise de décision.

Droit de recours et de réparation du dommage matériel ou moral

En cas de dommage matériel ou moral lié à la violation du RGPD, vous disposez d'un droit à obtenir réparation du préjudice subi (article 82 du RGPD).

Vous pouvez 

• déposer un recours auprès de la CNIL
• introduire une action de groupe, en faisant notamment appel aux associations de consommateurs nationales agréées.

En savoir plus sur l’action de groupe

Comment exercer vos droits ?

Pour exercer vos droits, vous devez :

1. identifier l’organisme qui traite vos données (en consultant ses mentions légales ou sa politique de confidentialité). Consultez la fiche pratique de la CNIL si vous ne savez pas comment procéder et avoir plus d’informations.
2. le contacter par voie électronique ou courrier en précisant votre demande
3. conserver une copie de vos démarches. Cela vous sera utile si vous souhaitez par la suite saisir la CNIL  si la réponse vous parait insatisfaisante ou si vous n’avez pas de réponse sous un mois (trois mois en cas de demande complexe).

Ressources complémentaires