Exercer ses droits sur ses données personnelles auprès d'un site, d'une application ou d'un commerçant, accès, rectification, effacement, opposition, portabilité, délai d'un mois, refus ou silence, plainte à la CNIL et réparation

Exercer ses droits sur ses données personnelles, ce que le RGPD vous permet de demander

En bref. Tout site, toute application et tout commerçant qui traite des données personnelles vous concernant doit vous permettre d'exercer vos droits. Il suffit en principe de lui écrire, sans formalité particulière, et il doit vous répondre dans un délai d'un mois.

Le règlement (UE) 2016/679 du 27 avril 2016, dit RGPD, reconnaît à toute personne dont les données sont traitées plusieurs droits que la CNIL présente sur sa page « Les droits pour maîtriser vos données personnelles ». Il s'agit du droit à l'information, du droit d'opposition, du droit d'accès, du droit de rectification, du droit à l'effacement, du droit à la portabilité, du droit à la limitation du traitement, des droits liés au profilage et aux décisions automatisées, et du droit au déréférencement, ce dernier s'exerçant auprès des moteurs de recherche.

L'organisme qui décide de la finalité et des moyens du traitement, par exemple la boutique en ligne où vous avez acheté, l'éditeur de l'application que vous utilisez ou le commerçant dont vous avez la carte de fidélité, est le responsable du traitement. C'est à lui que s'adressent vos demandes.

Cet article vous explique comment présenter ces demandes, dans quels délais il doit répondre, ce que vous pouvez faire en cas de refus ou de silence, et comment la CNIL ou un juge peut intervenir. Il ne traite pas de la fuite ou du piratage de données, dont l'indemnisation est détaillée dans notre article sur la violation de données personnelles, ni de ce qu'il faut faire après un message frauduleux, abordé dans notre article sur l'hameçonnage par SMS, e-mail ou appel.

Accès, rectification, effacement, limitation, portabilité et opposition, le contenu de chaque droit

En bref. Chaque droit répond à une demande différente. Précisez dans votre courrier lequel vous exercez et sur quelles données, car l'organisme ne doit pas avoir à deviner votre demande.

• Le droit d'accès (article 15). Il permet de savoir si un organisme détient des données vous concernant et d'en obtenir une copie. Selon la CNIL, l'organisme doit aussi indiquer les finalités du traitement, les catégories de données, les destinataires, la durée de conservation, l'existence de vos autres droits et la possibilité de saisir la CNIL, ainsi que la source des données si elles ne viennent pas de vous, l'existence d'une décision automatisée et les éventuels transferts hors de l'Union européenne. Le droit d'accès ne doit pas porter atteinte aux droits d'autrui, et seules vos propres données sont communicables ;
• Le droit de rectification (article 16). Il permet de faire corriger les données inexactes et de faire compléter les données incomplètes, par exemple une adresse ou une date de naissance erronée. La CNIL précise que le responsable du fichier doit aussi informer les autres destinataires des données de la rectification, sauf efforts disproportionnés ;
• Le droit à l'effacement (article 17). Vous pouvez demander la suppression de vos données notamment lorsqu'elles ne sont plus nécessaires à la finalité pour laquelle elles ont été collectées, lorsque vous retirez votre consentement et qu'aucun autre fondement ne justifie le traitement, lorsque vous vous opposez au traitement et qu'aucun motif légitime impérieux ne prévaut ou qu'il s'agit de prospection, lorsque celui-ci est illicite ou lorsque l'effacement est imposé par une obligation légale. Le droit peut être écarté dans certains cas, par exemple pour respecter une obligation légale de conservation ou pour la constatation, l'exercice ou la défense de droits en justice. Précisez les données visées, car supprimer un compte n'entraîne pas la suppression des factures que la loi oblige à conserver, comme le rappelle la CNIL ;
• Le droit à la limitation du traitement (article 18). Il permet de « geler » l'utilisation de vos données, notamment pendant la vérification de leur exactitude ou pendant l'examen d'une opposition. La CNIL indique que vous pouvez la demander pendant l'attente d'une réponse à une demande de rectification ou d'accès ;
• Le droit à la portabilité (article 20). Il porte sur les données que vous avez fournies, lorsque le traitement repose sur votre consentement ou sur un contrat et qu'il est effectué à l'aide de procédés automatisés. Vous pouvez les recevoir dans un format structuré, couramment utilisé et lisible par machine, et demander leur transmission directe à un autre responsable du traitement lorsque c'est techniquement possible (article 20, paragraphe 2) ;
• Le droit d'opposition (article 21). Vous pouvez vous opposer, pour des raisons tenant à votre situation particulière, à un traitement fondé sur l'intérêt public ou l'intérêt légitime du responsable, qui doit alors cesser le traitement sauf s'il démontre des motifs légitimes et impérieux. Vous pouvez en revanche toujours vous opposer, sans motif, à l'utilisation de vos données à des fins de prospection commerciale.

Le droit d'accès et le droit à la portabilité ne se confondent pas. Selon la CNIL, le premier permet de savoir quelles données un organisme détient et d'en demander la rectification ou l'effacement, le second de récupérer des données pour les réutiliser ailleurs, et une donnée non portable peut tout de même vous être communiquée sous une forme lisible par un humain au titre de l'accès. La portabilité exclut notamment les données déduites par l'organisme, comme une catégorie marketing ou une analyse de risque, et les fichiers papier. La CNIL recommande des formats ouverts comme CSV ou JSON, et juge peu adaptés un PDF ou un format propriétaire. Notre article sur le compte en ligne suspendu ou supprimé montre comment ces droits servent à récupérer ses données auprès d'une plateforme.

À qui écrire, le responsable du traitement ou son délégué à la protection des données

En bref. Adressez votre demande à l'organisme lui-même, par la voie qu'il indique dans sa politique de confidentialité, en précisant que vous visez son délégué à la protection des données lorsqu'il en a désigné un.

La CNIL recommande d'identifier l'organisme, puis de consulter sa politique de confidentialité ou ses mentions légales, où figure en général la façon d'exercer ses droits. Le responsable du traitement ou le sous-traitant doit diffuser les coordonnées du délégué à la protection des données, souvent appelé DPO, et les communiquer à la CNIL (article 37, paragraphe 7, du RGPD). Toute personne dont les données sont traitées peut contacter ce délégué pour toute question relative au traitement et à l'exercice de ses droits (article 38, paragraphe 4).

Selon la CNIL, la demande peut être envoyée par voie électronique, par formulaire, adresse électronique ou espace en ligne, ou par courrier. Pour un courrier, elle conseille de demander un accusé de réception, qui atteste la date d'envoi. La CNIL met à disposition sur son site des modèles de courrier, notamment pour exercer son droit d'accès, rectifier des données inexactes, supprimer des données personnelles ou s'opposer à la prospection commerciale.

Vous n'avez pas à justifier votre demande. La CNIL précise que l'exercice du droit d'accès n'a pas à être motivé et qu'il peut coexister avec une procédure contentieuse ou administrative en cours. L'organisme peut en revanche refuser une demande manifestement infondée ou excessive, à condition de le démontrer (article 12, paragraphe 5).

Comment rédiger la demande et se constituer une preuve

En bref. Une demande claire et datée facilite la réponse et vous protège en cas de silence. Conservez la preuve de l'envoi et de la date de réception.

Le texte ne fixe pas de formulaire obligatoire. Les éléments suivants rendent la demande exploitable.

• votre identité et les moyens de vous identifier auprès de l'organisme, par exemple l'adresse électronique de votre compte ou un numéro client ;
• le droit que vous exercez, avec l'article du RGPD correspondant, et les données concernées, par exemple « toutes les données liées à mon compte client » ou « mon adresse électronique dans votre base de prospection » ;
• la forme dans laquelle vous souhaitez la réponse, notamment un format électronique courant pour une copie de vos données ;
• la date, et le rappel du délai d'un mois de l'article 12, paragraphe 3, du RGPD ;
• le moyen de vous répondre, sachant qu'une demande présentée par voie électronique reçoit en principe une réponse par voie électronique, sauf si vous demandez un autre moyen.

Exemple de formulation, à titre d'illustration.

Madame, Monsieur, en application de l'article 15 du règlement (UE) 2016/679, je vous demande de me communiquer une copie de l'ensemble des données personnelles me concernant que vous traitez, ainsi que les informations prévues par cet article, notamment les finalités, les destinataires et la durée de conservation. Vous voudrez bien me répondre dans le délai d'un mois prévu par l'article 12 du règlement. Date et signature.

Pour un envoi en ligne, faites une capture d'écran de la demande et conservez le courriel de confirmation. Pour un courrier, privilégiez l'envoi recommandé avec accusé de réception. Notre générateur de mise en demeure peut vous servir si vous devez relancer l'organisme.

Le délai de réponse, un mois et une prorogation possible de deux mois

En bref. La réponse est due sans retard injustifié et au plus tard dans un mois à compter de la réception de la demande. L'organisme peut prolonger ce délai de deux mois, mais seulement si la demande est complexe ou si les demandes sont nombreuses, et en vous prévenant dans le premier mois.

L'article 12, paragraphe 3, du RGPD impose au responsable du traitement de fournir les informations sur les mesures prises à la suite de votre demande sans retard injustifié et en tout état de cause dans un délai d'un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable informe alors la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande. La CNIL en déduit, dans ses fiches, un délai pouvant atteindre trois mois au total.

La prorogation n'est donc pas libre. Une simple absence de réponse ne la justifie pas, et un organisme qui ne vous a rien écrit dans le premier mois est en retard au regard de l'article 12.

Le point de départ est la réception de la demande, d'où l'intérêt de la preuve de l'envoi. La CNIL indique que, pour les données de santé, des délais plus courts existent dans le cadre du droit d'accès. Nous ne détaillons pas ces règles sectorielles.

Gratuité de la demande et justificatif d'identité

En bref. Exercer vos droits ne coûte rien en principe, et l'organisme ne peut pas exiger systématiquement une copie de votre pièce d'identité.

Gratuité. L'article 12, paragraphe 5, du RGPD prévoit que les informations et les mesures prises au titre des articles 15 à 22 et 34 sont fournies à titre gratuit. Lorsque les demandes sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut exiger le paiement de frais raisonnables basés sur les coûts administratifs ou refuser de donner suite, et il lui incombe de démontrer ce caractère. Pour le droit d'accès, des frais raisonnables fondés sur les coûts administratifs ne peuvent être demandés que pour toute copie supplémentaire (article 15, paragraphe 3). La CNIL ajoute que ces frais ne doivent pas faire obstacle à l'exercice du droit.

Justificatif d'identité. Lorsque le responsable du traitement a des doutes raisonnables quant à l'identité de la personne qui présente la demande au titre des articles 15 à 21, il peut demander que lui soient fournies des informations supplémentaires nécessaires pour confirmer cette identité (article 12, paragraphe 6). La CNIL en tire que, par principe, aucune pièce d'identité n'est exigée, l'identité pouvant être établie par tout moyen, par exemple un numéro client ou un espace authentifié, et qu'une photocopie ne peut être demandée qu'en cas de doute raisonnable, avec un niveau de vérification proportionné à la sensibilité des données et au contexte. Si on vous demande une copie de votre carte d'identité, vous pouvez demander à l'organisme pourquoi il a des doutes sur votre identité, et lui proposer un autre moyen de vous identifier.

Refus, réponse incomplète ou silence de l'organisme

En bref. Un refus doit être motivé et mentionner vos recours. En cas de silence ou de réponse insuffisante, relancez par écrit puis saisissez la CNIL.

Lorsque le responsable du traitement ne donne pas suite à votre demande, il doit vous informer sans tarder, et au plus tard dans un délai d'un mois à compter de la réception de la demande, des motifs de son inaction et de la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel (article 12, paragraphe 4, du RGPD).

Selon la CNIL, un refus est possible notamment si la demande est manifestement infondée ou excessive, ce que l'organisme doit prouver, ou si les données ne sont plus conservées ou ont déjà été effacées. Pour le droit d'opposition hors prospection, l'organisme peut refuser s'il justifie de motifs légitimes et impérieux. Pour l'effacement, il peut invoquer l'une des exceptions de l'article 17, paragraphe 3, par exemple une obligation légale de conservation.

Face à une réponse incomplète ou erronée, la CNIL recommande de demander d'abord à l'organisme de la compléter ou de la corriger. En l'absence de réponse dans le mois, sans prorogation notifiée, une relance écrite, éventuellement par lettre recommandée, rappelle l'organisme à ses obligations et constitue une pièce utile pour la suite. Pendant l'attente, vous pouvez demander la limitation du traitement de vos données, selon la CNIL.

Saisir la CNIL par une plainte en ligne

En bref. Toute personne peut introduire une réclamation auprès de la CNIL. La CNIL demande en pratique d'avoir d'abord exercé votre droit auprès de l'organisme, puis d'avoir attendu un mois sans réponse ou d'avoir contesté une réponse insatisfaisante.

Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d'introduire une réclamation auprès d'une autorité de contrôle si elle considère que le traitement de ses données ne respecte pas le RGPD (article 77, paragraphe 1). L'autorité informe l'auteur de la réclamation de l'état d'avancement et de l'issue de celle-ci, y compris de la possibilité d'un recours juridictionnel (article 77, paragraphe 2). La loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés charge la CNIL de traiter les réclamations, pétitions et plaintes, d'en examiner l'objet dans la mesure nécessaire et d'informer l'auteur de l'avancement et de l'issue de l'enquête dans un délai raisonnable (article 8, I, 2°, d).

Selon la page de la CNIL consacrée aux plaintes, la démarche se déroule ainsi.

• exercez d'abord votre droit auprès de l'organisme, idéalement par l'intermédiaire de son délégué à la protection des données, et conservez les preuves ;
• saisissez la CNIL si vous n'avez reçu aucune réponse après un mois, ou si la réponse est incomplète ou erronée, après l'avoir contestée auprès de l'organisme ;
• rédigez la plainte en français, avec l'identité et les coordonnées de l'organisme visé, les vôtres et les pièces utiles, comme les courriers, les adresses de pages et la preuve de votre lien avec l'organisme ;
• utilisez le service de plainte en ligne, qui suppose la création d'un compte permettant de suivre le dossier, ou envoyez un courrier ;
• si vous agissez pour un tiers, joignez un mandat écrit.

La CNIL vérifie la recevabilité et la complétude de la plainte, une plainte imprécise ou incomplète n'étant pas traitée. Si la plainte porte sur l'exercice de vos droits, elle écrit à l'organisme pour obtenir une réponse. Lorsque l'organisme est établi dans un autre État membre de l'Union européenne, le traitement de la plainte peut passer par une coopération avec l'autorité de ce pays, ce qui peut allonger les délais. Elle indique s'engager à vous informer de l'avancement au moins tous les trois mois, les délais variant selon le volume de plaintes et la complexité du dossier. Si des manquements sont avérés, elle peut prendre des mesures allant du rappel à l'ordre à la sanction financière, en passant par la mise en demeure.

La CNIL précise qu'elle ne peut pas vous obtenir de dommages et intérêts ni constater un préjudice, et qu'une plainte à la CNIL n'a pas valeur de dépôt de plainte pénale et n'en constitue pas un préalable, et que vous pouvez déposer à tout moment une plainte pénale auprès du procureur de la République. Toute personne physique ou morale peut former un recours juridictionnel effectif contre une décision juridiquement contraignante de la CNIL qui la concerne (article 78, paragraphe 1, du RGPD).

Pour certains fichiers de police, de justice ou de renseignement, la CNIL n'est pas saisie en second recours mais intervient d'emblée pour l'exercice indirect des droits d'accès, de rectification et d'effacement, car elle ne détient pas ces fichiers et vérifie auprès de l'administration concernée.

La voie judiciaire et la réparation d'un dommage

En bref. Vous pouvez saisir un juge sans passer par la CNIL, et demander réparation d'un dommage lié à une violation de vos droits, à condition de pouvoir le démontrer.

Toute personne concernée a droit à un recours juridictionnel effectif si elle considère que les droits que lui confère le RGPD ont été violés du fait d'un traitement de ses données non conforme, sans préjudice des recours administratifs, dont la réclamation de l'article 77 (article 79, paragraphe 1). L'action peut être intentée devant les juridictions de l'État membre où le responsable du traitement ou le sous-traitant dispose d'un établissement, ou devant celles de l'État membre où la personne concernée réside habituellement, cette seconde option étant écartée lorsque le responsable est une autorité publique agissant dans l'exercice de ses prérogatives de puissance publique (article 79, paragraphe 2).

Toute personne ayant subi un dommage matériel ou moral du fait d'une violation du RGPD a le droit d'obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi (article 82, paragraphe 1). Le responsable du traitement est exonéré s'il prouve que le fait qui a provoqué le dommage ne lui est nullement imputable (article 82, paragraphe 3). Les conditions de l'indemnisation, la preuve du préjudice et la juridiction compétente selon que l'organisme est privé ou public sont détaillées dans notre article sur la violation de données personnelles.

Un refus ou un silence ne cause pas nécessairement un dommage indemnisable. Il faut pouvoir décrire le préjudice subi et le relier au manquement, par exemple des frais engagés, des démarches répétées ou la poursuite d'une prospection malgré votre opposition. Notre article sur la mise en demeure par lettre recommandée explique comment mettre l'organisme en demeure avant toute action.

S'opposer à la prospection commerciale, le cas le plus fréquent

En bref. Vous n'avez pas à justifier votre opposition à la prospection, et l'organisme doit cesser d'utiliser vos données à cette fin.

Lorsque des données sont traitées à des fins de prospection, la personne concernée a le droit de s'opposer à tout moment à ce traitement (article 21, paragraphe 2, du RGPD). Lorsqu'elle s'oppose, les données ne peuvent plus être traitées à ces fins (paragraphe 3). Ce droit doit être signalé clairement et séparément lors du premier contact avec la personne (paragraphe 4). Selon la CNIL, l'organisme doit alors supprimer votre adresse de sa base de prospection dans les meilleurs délais, et vous pouvez rester inscrit pour la gestion de vos commandes en cours. L'opposition à la prospection est un cas d'effacement prévu par l'article 17, paragraphe 1, du RGPD.

Pour les services de la société de l'information, le droit d'opposition peut s'exercer par des procédés automatisés utilisant des spécifications techniques (article 21, paragraphe 5). Les règles propres au consentement préalable pour les SMS, les courriels et le téléphone sont détaillées dans nos articles sur le démarchage par SMS et par e-mail et sur le démarchage téléphonique.

Vos démarches, étape par étape

Procédez dans l'ordre, en gardant la preuve de chaque étape. La CNIL n'intervient en principe qu'après une demande restée sans réponse satisfaisante.

• identifiez le responsable du traitement et les coordonnées de son délégué à la protection des données dans sa politique de confidentialité ou ses mentions légales ;
• envoyez une demande écrite, datée, précisant le droit exercé et les données visées, par voie électronique avec capture d'écran, ou par courrier recommandé avec accusé de réception ;
• fournissez un justificatif d'identité uniquement si l'organisme justifie un doute raisonnable, et demandez-lui quel justificatif est proportionné ;
• notez la date de réception et attendez un mois, en vérifiant si l'organisme vous a notifié une prolongation motivée de deux mois ;
• en cas de réponse incomplète, contestez-la par écrit auprès de l'organisme, et demandez si besoin la limitation du traitement ;
• sans réponse ou en cas de refus non justifié, déposez une plainte en ligne auprès de la CNIL avec toutes vos pièces ;
• si vous avez subi un préjudice, mettez l'organisme en demeure, puis envisagez la voie judiciaire, éventuellement avec l'aide d'une association de consommateurs.

Jurisprudence

Une seule décision est mentionnée ici, sans que sa portée soit détaillée. La Cour de justice de l'Union européenne a rendu le 19 mars 2026 un arrêt dans l'affaire C-526/24 qui concerne le droit d'accès, et son communiqué est disponible sur le site de la Cour. La portée d'un refus, l'appréciation d'une demande excessive et le montant d'une éventuelle réparation dépendent des faits de chaque dossier et du juge saisi.

Ce que cet article ne couvre pas

Cet article présente les règles générales applicables à un site, une application ou un commerçant. Il ne détaille ni les règles spécifiques aux données de santé, aux fichiers de police ou de renseignement, aux fichiers bancaires, aux salariés ou aux administrations, ni le droit au déréférencement auprès des moteurs de recherche, ni les droits liés au profilage et aux décisions automatisées. Il ne porte aucun jugement sur le comportement d'un organisme précis, dont le manquement ne peut résulter que d'une décision de la CNIL ou d'un juge.