4.2Droits des personnes & consentement
De quoi parle cette section. Le RGPD donne aux personnes des droits opposables sur leurs données : droit d'accès (« qu'avez-vous sur moi ? »), de rectification, d'effacement (« droit à l'oubli »), de portabilité, d'opposition. Toute entreprise doit pouvoir y répondre dans le mois.
Le consentement, lui, doit être libre, éclairé, spécifique et univoque — une case précochée ne suffit pas. Les bandeaux cookies sont l'application la plus visible. Connaître ces règles évite à votre entreprise des plaintes et des amendes CNIL.
Vocabulaire de la section
- Droits des personnes
- Accès, rectification, effacement, opposition, portabilité, limitation : toute personne peut les exercer sur SES données.
- Droit d'accès
- « Quelles données avez-vous sur moi ? » : l'organisation doit répondre, généralement sous un mois.
- Consentement
- L'une des bases légales : libre, spécifique, éclairé, univoque — et retirable aussi facilement qu'il a été donné.
- Bases légales
- Le consentement n'est qu'une base parmi six : contrat, obligation légale, intérêt légitime… — tout traitement doit s'appuyer sur l'une d'elles.
- Information (transparence)
- Les personnes doivent savoir qui collecte quoi, pourquoi, combien de temps : mentions d'information, politiques de confidentialité.
Un client demande la suppression de ses données. Votre premier geste ?
En pratique — Vivre les droits des deux côtés
- Côté personne : exercez votre droit d'accès auprès d'un service que vous utilisez (rubrique confidentialité → « télécharger mes données ») — instructif sur ce qui est réellement collecté.
- Côté salarié : si un client/contact vous demandait « supprimez mes données », sauriez-vous quoi faire ? Identifiez le circuit interne (généralement : transmettre au DPO, ne jamais improviser).
- Vérifiez un formulaire de votre organisation : l'information est-elle présente (finalité, droits) ? Les cases de consentement sont-elles pré-cochées (interdit) ?
- Notez la règle du délai : une demande de droit reçue = transmise immédiatement — le chrono d'un mois court dès réception.
Points clés à retenir
- Toute personne peut demander l'accès, la correction ou l'effacement de ses données : ce sont des droits, pas des faveurs.
- Une demande de droit se transmet au DPO/référent sans délai — le mois de réponse court dès réception.
- Le consentement doit être libre et explicite : cases pré-cochées et consentements forcés sont illégaux.
- Le consentement n'est pas toujours la bonne base : contrat et obligation légale couvrent beaucoup de traitements courants.
Questions fréquentes
Un client mécontent demande la suppression de toutes ses données : doit-on tout effacer ?
Pas nécessairement : les données nécessaires à une obligation légale (facturation, garantie) sont conservées. C'est précisément pourquoi la demande se transmet au DPO, qui arbitre base légale par base légale.
Que risque-t-on à ignorer une demande d'accès ?
Plainte CNIL, mise en demeure, sanction — et une image dégradée. La CNIL traite des milliers de plaintes par an, et le non-respect des droits en est le premier motif.