Le RGPD (Règlement Général sur la Protection des Données) est en vigueur depuis 2018, mais en 2026, une grande majorité de citoyens français ne sait toujours pas comment exercer concrètement les droits qu'il leur confère. Pire, beaucoup d'entreprises comptent sur cette méconnaissance pour ne jamais recevoir de demandes d'exercice de droits. Ce guide pratique vous explique vos droits, comment les exercer efficacement, et ce que vous pouvez faire si une entreprise ne répond pas ou refuse.
Les six droits fondamentaux que vous avez sur vos données
Le droit d'accès vous permet de demander à une entreprise de vous communiquer toutes les données personnelles qu'elle détient sur vous, dans un délai d'un mois (extensible à trois mois pour les demandes complexes). Cela inclut les données collectées directement auprès de vous mais aussi celles obtenues auprès de tiers. Vous avez le droit de recevoir une copie de vos données dans un format lisible.
Le droit de rectification vous permet de corriger des données inexactes ou incomplètes. Si votre adresse, votre date de naissance, ou toute autre information vous concernant est incorrecte dans les systèmes d'une entreprise, vous pouvez exiger sa correction. L'entreprise doit informer de la rectification toutes les organisations auxquelles elle a partagé vos données.
Le droit à l'effacement (ou "droit à l'oubli") vous permet de demander la suppression de vos données dans certains cas : si les données ne sont plus nécessaires à l'objectif pour lequel elles ont été collectées, si vous avez retiré votre consentement, si vous vous êtes opposé au traitement, ou si les données ont été collectées illégalement. Ce droit n'est pas absolu : certaines obligations légales (comptabilité, contentieux) peuvent justifier la conservation des données.
Le droit à la portabilité : transférer vos données d'un service à un autre
Le droit à la portabilité est l'un des droits les moins connus mais potentiellement les plus utiles. Il vous permet de récupérer vos données dans un format structuré, couramment utilisé et lisible par machine, pour les transmettre à un autre responsable de traitement. En pratique, cela signifie que vous pouvez demander à Spotify vos données d'écoute pour les importer chez un concurrent, ou demander à votre réseau social l'ensemble de vos publications et contacts pour migrer vers une autre plateforme.
Ce droit ne s'applique qu'aux données que vous avez vous-même fournies, traitées sur la base de votre consentement ou d'un contrat. Il ne couvre pas les données inférées ou déduites par l'entreprise (profils publicitaires, scores de crédit calculés, etc.).
Le droit d'opposition : refuser certains traitements
Vous avez le droit de vous opposer au traitement de vos données à des fins de prospection commerciale, à tout moment et sans justification. Pour les autres traitements basés sur l'intérêt légitime de l'entreprise (profilage, personnalisation), vous pouvez vous opposer en invoquant votre situation particulière : l'entreprise devra alors démontrer que ses intérêts légitimes prévalent sur les vôtres ou cesser le traitement.
Le droit d'opposition au profilage automatisé est particulièrement important. Si une décision vous affectant (refus de crédit, contenu filtré, tarification personnalisée) est prise uniquement par algorithme sans intervention humaine, vous avez le droit d'exiger une révision humaine, d'exprimer votre point de vue, et de contester la décision.
Comment exercer vos droits concrètement
La première étape est d'identifier le responsable de traitement et ses coordonnées de contact pour les demandes RGPD. Les grandes entreprises ont un Délégué à la Protection des Données (DPO) que vous pouvez contacter directement. Si l'entreprise n'affiche pas de contact DPO, utilisez les coordonnées générales du service client en précisant que votre demande est une "demande d'exercice de droits RGPD".
Votre demande doit être formulée par écrit (email ou courrier) et doit vous identifier clairement. Dans certains cas, l'entreprise peut vous demander une pièce d'identité pour vérifier votre identité : c'est légitime si la demande porte sur des données sensibles. Pour les demandes d'accès et d'effacement, incluez dans votre message : votre nom complet, vos coordonnées, les données concernées (le plus précisément possible), le type de demande (accès, effacement, portabilité...), et la date de la demande.
Les délais et ce que vous pouvez faire en cas de non-réponse
L'entreprise a un mois à compter de la réception de votre demande pour y répondre. Ce délai peut être étendu à trois mois pour les demandes complexes, à condition de vous informer de l'extension dans le premier mois. Si vous ne recevez pas de réponse dans le mois, ou si la réponse est insatisfaisante (refus sans justification valable, réponse incomplète), vous avez plusieurs recours.
La CNIL (Commission Nationale de l'Informatique et des Libertés) est l'autorité de contrôle française pour la protection des données. Vous pouvez déposer une plainte en ligne sur le site de la CNIL (cnil.fr). La CNIL peut enquêter et sanctionner les entreprises qui ne respectent pas le RGPD : les amendes peuvent atteindre 4 % du chiffre d'affaires mondial ou 20 millions d'euros. Depuis 2023, la CNIL a traité plus de 16 000 plaintes annuelles et prononcé plusieurs dizaines de millions d'euros d'amendes.
Les cas pratiques les plus fréquents en 2026
Les demandes d'exercice de droits les plus courantes concernent les applications mobiles (suppression de compte et des données associées), les services de email marketing (désinscription et suppression des données de profil), les données bancaires et d'assurance (accès aux données de scoring), et les plateformes de réseaux sociaux (récupération de l'historique complet).
Un cas particulièrement actuel : les systèmes d'IA générative. Si un service IA a été entraîné sur des données qui vous concernent (textes que vous avez publiés, photos, etc.), vous pouvez exercer votre droit d'opposition à ce traitement. La question de savoir si un LLM peut "effacer" une donnée spécifique de ses paramètres est techniquement complexe, mais les fournisseurs IA ont l'obligation de répondre à ces demandes et de mettre en place des mécanismes d'atténuation.
RGPD et IA : les nouveaux droits liés à l'AI Act
L'AI Act européen, entré en application progressive depuis 2025, ajoute des droits spécifiques face aux systèmes d'IA à haut risque. Si vous êtes évalué par un système d'IA dans un contexte à fort impact (recrutement, crédit, accès aux services publics, santé), vous avez le droit à une explication de la décision, le droit de contester cette décision auprès d'un humain, et le droit d'obtenir des informations sur les données utilisées pour l'évaluation.
Ces droits combinés RGPD + AI Act représentent une protection significative dans un monde où les décisions algorithmiques se multiplient. Les faire valoir requiert de la persévérance, mais les organismes de défense des droits numériques comme La Quadrature du Net, Access Now, ou le European Center for Digital Rights (NOYB) publient des guides et proposent parfois un accompagnement pour les cas emblématiques.
