Droits RGPD : la liste complète et comment y répondre

Un client vous écrit pour réclamer toutes les données que vous détenez sur lui. Un ancien salarié demande l'effacement de son dossier. Un prospect exige de ne plus recevoir vos e-mails. Ces messages ne sont pas des formalités : ce sont des droits RGPD, et vous avez l'obligation d'y répondre dans un délai précis.

Beaucoup d'organisations découvrent ces demandes dans l'urgence, sans procédure ni interlocuteur désigné. C'est là que le risque apparaît, car ignorer une demande est l'un des premiers motifs de plainte auprès de la CNIL. Cet article liste les droits RGPD des personnes, puis explique comment une organisation doit y répondre concrètement : délai, vérification d'identité, cas de refus légitime.

Définition — Les droits RGPD sont les droits que le Règlement général sur la protection des données accorde à toute personne sur ses données personnelles. Ils lui permettent notamment d'accéder à ses données, de les corriger, de les faire effacer, de s'opposer à leur traitement ou de les récupérer. Toute organisation qui détient ces données doit être en mesure de répondre à ces demandes.

Points clés

• Le RGPD accorde aux personnes six droits principaux : accès, rectification, effacement, opposition, portabilité et limitation.
• Toute organisation qui détient des données doit répondre à une demande d'exercice de droits, quelle que soit sa taille.
• Le délai de réponse est en principe d'un mois à compter de la réception de la demande.
• Avant de répondre, vous devez vérifier l'identité du demandeur, sans en exiger plus que nécessaire.
• Un refus est possible dans certains cas, mais il doit être motivé et notifié à la personne.

Les droits RGPD des personnes : la liste

Le RGPD accorde à chaque personne six droits principaux qu'elle peut exercer auprès de toute organisation détenant ses données. Ces droits figurent au chapitre III du règlement et constituent le cœur du texte. Vous devez les connaître pour savoir ce qu'une demande implique de votre côté.

Le tableau ci-dessous récapitule chaque droit, ce qu'il implique pour l'organisation et le délai de réponse applicable.

Droit	Ce que l'organisation doit faire	Délai
Droit d'accès	Confirmer si vous traitez ses données, en fournir une copie et les informations sur le traitement	Un mois
Droit de rectification	Corriger sans tarder les données inexactes ou compléter les données incomplètes	Un mois
Droit à l'effacement	Supprimer les données lorsque les conditions sont réunies (droit à l'oubli)	Un mois
Droit d'opposition	Cesser le traitement, notamment en cas de prospection commerciale	Un mois
Droit à la portabilité	Fournir les données dans un format structuré, couramment utilisé et lisible par machine	Un mois
Droit à la limitation	Geler le traitement le temps de vérifier une contestation	Un mois

Ces droits ne sont pas tous absolus. Certains, comme l'effacement ou l'opposition, s'appliquent sous conditions et peuvent se heurter à une obligation légale de conservation. C'est ce qui rend la procédure de traitement aussi importante que la connaissance des droits eux-mêmes.

Bon à savoir — Le droit à la portabilité ne concerne que les données que la personne vous a fournies, dans le cadre d'un traitement fondé sur le consentement ou sur un contrat, et réalisé de façon automatisée. Il ne couvre donc pas l'ensemble des données que vous détenez sur elle.

Droit d'accès et rectification : les demandes les plus courantes

Le droit d'accès permet à une personne de savoir si vous traitez ses données et d'en obtenir une copie. C'est la demande la plus fréquente, souvent formulée par un client ou un ancien salarié. Vous devez fournir non seulement les données, mais aussi les informations sur les finalités, les destinataires et la durée de conservation.

Le droit de rectification permet de faire corriger des données inexactes ou d'en compléter d'incomplètes. Il est en général simple à traiter, mais suppose que vos fichiers soient à jour et que la correction se propage partout où la donnée existe.

Ces deux droits paraissent anodins, mais ils révèlent souvent le désordre d'une base de données mal tenue. Une organisation capable de retrouver rapidement toutes les données d'une personne a déjà fait une grande partie du travail de conformité.

Attention — Une demande de droit d'accès ne se limite pas à votre CRM. Elle peut concerner vos e-mails, vos sauvegardes, vos outils tiers et vos fichiers dispersés. Sans cartographie préalable de vos traitements, retrouver toutes les données dans le délai devient difficile. Un registre des traitements à jour facilite grandement cette recherche.

Effacement, opposition, portabilité, limitation

Le droit à l'effacement, aussi appelé droit à l'oubli, permet à une personne de demander la suppression de ses données. Il s'applique par exemple lorsque les données ne sont plus nécessaires ou que la personne retire son consentement. Il n'est pas absolu : une obligation légale de conservation, comme une facture à garder pour des raisons comptables, peut justifier un refus partiel.

Le droit d'opposition permet de refuser un traitement pour des raisons tenant à la situation de la personne. En matière de prospection commerciale, il est inconditionnel : si quelqu'un demande à ne plus recevoir vos e-mails marketing, vous devez cesser immédiatement.

Le droit à la portabilité permet de récupérer ses données dans un format réutilisable, pour les transmettre à un autre service. Le droit à la limitation, moins connu, permet de geler un traitement le temps de trancher une contestation, plutôt que de le supprimer.

Bon à savoir — Répondre correctement à ces demandes suppose d'avoir anticipé la question dès la conception de vos outils et process. C'est tout l'intérêt du privacy by design : intégrer la protection des données dès le départ, pour ne pas avoir à tout reconstruire au moment d'une demande. C'est le pilier que nous privilégions chez le cabinet mydari.

Comment répondre à une demande de droit RGPD

Répondre à une demande de droit RGPD suppose une procédure simple et connue de vos équipes, pas une improvisation. La personne peut vous solliciter par tout moyen : e-mail, courrier, formulaire, voire oralement. Vous ne pouvez pas exiger un canal particulier ni un formulaire imposé.

La démarche tient en quelques étapes claires :

1. Enregistrer la demande dès sa réception et noter la date de départ du délai.
2. Vérifier l'identité du demandeur, sans réclamer plus de justificatifs que nécessaire.
3. Identifier les données concernées dans l'ensemble de vos outils et fichiers.
4. Préparer la réponse : copie des données, correction, suppression ou arrêt du traitement selon le droit exercé.
5. Répondre par écrit à la personne, en expliquant ce que vous avez fait ou pourquoi vous refusez.

Le point le plus souvent négligé est l'orientation de la demande vers le bon interlocuteur. Sans point de contact identifié, un message reçu à l'accueil ou sur une adresse générique peut se perdre et faire courir le délai sans que personne ne réagisse. Désigner un DPO externe permet de centraliser ces demandes et d'y répondre sereinement.

Conseil — Ne réagissez pas droit par droit dans l'urgence. Mettez en place une procédure unique qui couvre toutes les demandes, avec un point de contact et un modèle de réponse. Si vous voulez la cadrer pour votre activité, prenez contact : un premier échange suffit souvent à clarifier la marche à suivre.

Le délai d'un mois et la vérification d'identité

Vous disposez en principe d'un mois pour répondre à une demande de droit, à compter de sa réception. Ce délai peut être prolongé de deux mois supplémentaires si la demande est complexe ou si vous recevez plusieurs demandes, à condition d'en informer la personne et d'expliquer pourquoi.

Avant de répondre, vous devez vous assurer que le demandeur est bien la personne concernée. Cette vérification protège les données contre une demande frauduleuse. Mais elle doit rester proportionnée : vous ne pouvez pas exiger une pièce d'identité complète si un autre moyen plus léger permet de confirmer l'identité.

Si vous ne donnez pas suite à une demande, vous devez en informer la personne au plus tard dans le mois, en indiquant les raisons et la possibilité de saisir la CNIL. Le silence n'est jamais une option, car il transforme une simple demande en motif de plainte.

Attention — Le délai court dès la réception de la demande, pas à partir du moment où vous la découvrez. Une demande reçue pendant les congés ou noyée dans une boîte générique continue de faire tourner le compteur. C'est pourquoi la centralisation des demandes est un vrai enjeu, pas un détail administratif.

Peut-on refuser une demande de droit ?

Vous pouvez refuser ou limiter une demande dans certains cas prévus par le RGPD, mais jamais de façon arbitraire. Un refus doit reposer sur un motif valable et être notifié à la personne, avec l'indication de ses voies de recours.

Plusieurs situations justifient un refus, total ou partiel. Une obligation légale de conservation peut vous empêcher d'effacer certaines données. Les droits d'un tiers peuvent limiter l'étendue d'un accès. Une demande manifestement infondée ou excessive, par exemple répétée sans raison, peut aussi être refusée ou faire l'objet de frais.

Dans tous les cas, la charge de la preuve vous incombe : c'est à vous de démontrer que le refus est fondé. Un refus mal motivé ou systématique est un signal négatif fort lors d'un contrôle de la CNIL. Mieux vaut expliquer clairement une limite réelle que de fermer la porte sans justification.

Conseil — En cas de doute sur la légitimité d'un refus, ne tranchez pas seul dans l'urgence. Une réponse mal calibrée coûte plus cher qu'une question posée à temps. Échangez avec nos équipes : nous vous aidons à sécuriser vos réponses aux demandes de droits.

FAQ

Quels sont les droits RGPD des personnes ?

Le RGPD accorde six droits principaux : le droit d'accès, le droit de rectification, le droit à l'effacement, le droit d'opposition, le droit à la portabilité et le droit à la limitation. Chaque personne peut les exercer auprès de toute organisation qui détient ses données personnelles, quelle que soit la taille de cette organisation.

Quel est le délai pour répondre à une demande de droit RGPD ?

Le délai est en principe d'un mois à compter de la réception de la demande. Il peut être prolongé de deux mois supplémentaires si la demande est complexe ou si vous en recevez plusieurs, à condition d'informer la personne de cette prolongation et d'en expliquer la raison dans le premier mois.

Comment vérifier l'identité d'un demandeur ?

Vous devez vous assurer que le demandeur est bien la personne concernée, mais la vérification doit rester proportionnée. Vous ne pouvez pas exiger systématiquement une pièce d'identité si un autre moyen plus léger suffit, comme confirmer une information déjà connue de vous. L'objectif est d'éviter une demande frauduleuse sans collecter de données inutiles.

Peut-on refuser une demande d'effacement ?

Oui, dans certains cas. Le droit à l'effacement n'est pas absolu. Une obligation légale de conservation, comme garder une facture pour des raisons comptables, peut justifier un refus partiel. Vous devez alors expliquer à la personne ce que vous conservez, pourquoi, et lui rappeler qu'elle peut saisir la CNIL.

Que risque une entreprise qui ignore une demande de droit ?

Ignorer une demande est l'un des motifs de plainte les plus fréquents auprès de la CNIL. L'absence de réponse peut déclencher un contrôle et exposer l'organisation à une sanction. Le silence transforme une demande simple en litige. Répondre, même pour expliquer un refus motivé, reste toujours préférable à ne rien faire.

Une petite entreprise doit-elle aussi répondre à ces demandes ?

Oui. Les droits RGPD s'appliquent à toute organisation qui traite des données personnelles, sans seuil de taille ni de chiffre d'affaires. Une TPE, une association ou un indépendant doivent répondre à une demande d'accès, de rectification ou d'effacement au même titre qu'un grand groupe, dans le même délai d'un mois.

Sous quel format faut-il répondre à une demande d'accès ?

Vous devez fournir une copie des données concernées, ainsi que les informations sur le traitement : finalités, destinataires, durée de conservation. Si la demande arrive par voie électronique, la réponse est en principe fournie sous une forme électronique couramment utilisée, sauf si la personne demande un autre format.

Conclusion

Les droits RGPD ne sont pas une abstraction juridique : ce sont des demandes concrètes que vous recevrez, tôt ou tard, d'un client, d'un salarié ou d'un prospect. Les connaître ne suffit pas. Ce qui protège votre organisation, c'est une procédure claire pour y répondre dans le délai, vérifier l'identité et motiver un éventuel refus.

Si vous voulez transformer cette liste en une procédure opérationnelle adaptée à votre activité, prenez contact avec nos équipes : nous cadrons ensemble la marche à suivre. Pour approfondir le cadre général, relisez notre article RGPD, c'est quoi, et pour anticiper le pire, que faire en cas de violation de données. Vous pouvez aussi consulter le rôle et les missions de la CNIL ou parcourir le blog.

Pour aller plus loin, appuyez-vous sur les ressources officielles de la CNIL et sur le texte du RGPD sur EUR-Lex.

L'équipe mydari

Tous les articles