RGPD: vos droits existent, mais personne ne vous les explique vraiment

Depuis 2018, le RGPD est censé nous protéger. En théorie, c'est magnifique. En pratique ? Les entreprises s'en fichent royalement, et vous ne savez probablement pas à quel point vous avez des droits concrets qu'il suffirait d'utiliser. Je vais vous montrer comment, sans prise de tête.

Spoiler : vous avez beaucoup plus de pouvoir que vous ne le pensez. Mais il faut l'exercer, sinon ça ne sert à rien.

Le droit d'accès: demandez vos données, elles doivent répondre

Article 15 du RGPD. C'est votre arme numéro 1. Vous pouvez exiger de n'importe quelle entreprise qu'elle vous envoie toutes les données personnelles qu'elle détient sur vous. Fichier complet, lisible, téléchargeable.

En pratique, vous écrivez une demande (email ou courrier recommandé) en précisant votre identité et demandant l'exercice de votre droit d'accès. L'entreprise a 30 jours maximum pour répondre. Passé ce délai, vous pouvez saisir la CNIL (Commission Nationale de l'Informatique et des Libertés).

Franchement, c'est dingue ce qu'ils gardent. Les données qu'une banque, un opérateur télécom ou un site e-commerce a sur vous dépassent l'imagination. Historique de navigation, adresses IP, données géolocalisation, historique d'achats, notes internes... C'est votre droit de savoir. Utilisez-le.

Le droit de rectification: corrigez les conneries qu'ils ont écrites

Article 16. Si une entreprise détient une information fausse ou incomplète sur vous, vous pouvez la forcer à corriger. Un mauvais prénom, une mauvaise adresse, un statut professionnel inexact ? Demandez la rectification par écrit, même délai de 30 jours.

C'est particulièrement utile avec les agences de notation de crédit, les courtiers en données ou les sites de recrutement. Ces entreprises achètent et revendent vos infos sans vérifier. Une donnée pourrie qui circule, c'est dangereux.

Le droit à l'oubli: faites effacer ce qui vous poursuit

Article 17. Vous pouvez demander la suppression de vos données « sous certaines conditions » (oui, c'est vague). En gros : si les données ne sont plus nécessaires à la finalité, si vous retirez votre consentement, ou si l'entreprise n'a pas de base légale valide pour les garder.

Attention : ce droit ne s'applique pas partout. Les banques peuvent garder vos infos pour des raisons légales (anti-blanchiment, fiscalité). Les données de santé sont un cas à part. Mais pour 90% des sites commerciaux ? Vous pouvez demander et ils doivent obéir.

Exemple concret : une vieille inscription sur un forum de 2010 avec votre email et pseudo. Demandez la suppression. Le droit à l'oubli s'applique.

Le droit à la portabilité: vos données, vous les emportez

Article 20. Vous pouvez exiger vos données dans un format structuré et lisible par machine (CSV, JSON). C'est le droit à la portabilité. Utile pour changer de service sans laisser vos infos derrière.

Google et Microsoft offrent déjà des outils pour exporter vos données. Mais n'attendez pas qu'elles le proposent gentiment. Demandez-le formellement. Elles doivent vous donner un fichier exploitable, pas un PDF écrasé ou une capture d'écran.

Ce que vous devriez faire concrètement

1. Commencez par une entreprise facile : demandez vos données à un site où vous vous êtes inscrit il y a longtemps (réseau social, e-commerce, plateforme SaaS). Envoyez un email au support ou au DPO (Délégué à la Protection des Données, souvent dpo@entreprise.fr).
2. Soyez formel : écrivez « Exercice du droit d'accès aux données personnelles (article 15 RGPD) ». Identifiez-vous clairement (nom, email, adresse, numéro de client si applicable). Fixez un délai de 30 jours.
3. Gardez une trace : envoyez par email avec accusé de réception. Gardez les réponses. Si pas de réponse au-delà de 30 jours, documenter et préparer un dossier pour la CNIL.
4. Progressez vers les gros : une fois que vous maîtrisez, demandez vos données à Google, Meta, Amazon. Vous découvrirez des choses étranges. C'est votre droit.
5. Utilisez un outil pour suivre : des services comme None of Your Business ou des lettres-type de la CNIL peuvent faciliter les démarches. Vérifiez le site de la CNIL (cnil.fr) pour les modèles officiels.
6. En cas de refus ou de non-réponse : saisissez la CNIL en ligne (cnil.fr). C'est gratuit. Ils font du vrai boulot.

Pourquoi c'est important, vraiment

Le RGPD ne vous protégera pas automatiquement. C'est une boîte à outils. Si vous ne la touchez pas, elle reste fermée et les entreprises continueront comme si de rien n'était. Elles comptent là-dessus. Elles savent que 99% des gens ne connaissent pas leurs droits ou trop flemme de les utiliser.

Mais quand vous commencez à poser des questions, les choses changent. Une demande d'accès, c'est une facture de travail pour l'entreprise. Plusieurs demandes, c'est un problème de conformité. Des milliers de demandes coordonnées ? C'est un scandale.

Honnêtement, je préfère les gens qui demandent à ceux qui subissent passivement. Commencez petit. Une seule demande. Voyez ce qui se passe. Puis recommencez ailleurs.

Sources et références

• Règlement (UE) 2016/679 - RGPD officiel : EUR-Lex
• Commission Nationale de l'Informatique et des Libertés (CNIL) : cnil.fr - guides pratiques et modèles de demandes
• Article 15 (droit d'accès), Article 16 (rectification), Article 17 (oubli), Article 20 (portabilité) du RGPD
• Guide de la CNIL sur les droits des personnes : cnil.fr/fr/comprendre-vos-droits
• Références CVE et données de sécurité consultables sur : cve.org