Le RGPD et vos droits : accès, rectification, effacement

Chaque fois que vous créez un compte, passez commande ou remplissez un formulaire, quelqu'un enregistre des informations sur vous. Que devient cette donnée ? Qui peut la consulter ? Pouvez-vous la récupérer, la corriger, la faire effacer ? Depuis 2018, le règlement européen sur la protection des données (RGPD) vous donne des droits précis, gratuits et exerçables par n'importe qui. Cette leçon vous les présente et vous apprend à les utiliser.

Dans le chapitre précédent, vous avez vu que votre empreinte numérique peut être exploitée. Dans ce chapitre, nous passons de la défense technique à la défense juridique : ce que la loi vous permet d'exiger. Pour Nora, notre personnage fil rouge, c'est l'occasion de reprendre la main sur des données dispersées dans de nombreux services.

Le RGPD en bref

Le RGPD (Règlement général sur la protection des données) est un texte de l'Union européenne, applicable depuis mai 2018. En France, il s'articule avec la loi « Informatique et Libertés ». Il s'applique à toute organisation (entreprise, association, administration) qui traite des données de personnes situées dans l'Union européenne, quel que soit le pays où elle est installée.

Quelques définitions utiles :

• Donnée personnelle : toute information qui permet d'identifier une personne, directement (nom, photo, numéro de téléphone) ou indirectement (identifiant de compte, adresse IP, numéro de sécurité sociale, croisement d'informations) ;
• Donnée sensible : catégories particulières, mieux protégées (santé, opinions politiques, convictions religieuses, orientation sexuelle, données biométriques ou génétiques, appartenance syndicale) ;
• Traitement : toute opération sur des données (collecter, enregistrer, consulter, transmettre, conserver, supprimer) ;
• Responsable de traitement : l'organisation qui décide pourquoi et comment les données sont utilisées ;
• Sous-traitant : celui qui traite des données pour le compte du responsable (hébergeur, prestataire d'envoi de courriels) ;
• Personne concernée : c'est vous.

Les principes que les organisations doivent respecter

Le RGPD pose des règles de fond, que vous pouvez invoquer pour juger si l'usage de vos données est normal :

• Licéité, loyauté, transparence : le traitement doit reposer sur une base légale (votre consentement, un contrat, une obligation légale, un intérêt légitime…) et être expliqué clairement ;
• Finalité : les données sont collectées pour un but précis, annoncé, et pas réutilisées pour autre chose sans fondement ;
• Minimisation : seules les données nécessaires sont collectées. Un site de vente n'a pas besoin de votre situation familiale pour livrer un colis ;
• Exactitude : les données doivent être exactes et à jour ;
• Limitation de la conservation : elles ne sont pas gardées indéfiniment ;
• Sécurité : l'organisation doit protéger les données (mesures techniques et organisationnelles), et prévenir en cas de violation de données ;
• Responsabilité : l'organisation doit pouvoir démontrer sa conformité.

Vos droits

Ces droits ne sont pas absolus dans tous les cas : une organisation peut, par exemple, refuser d'effacer des données qu'elle doit légalement conserver (factures, obligations comptables). Mais elle doit alors vous répondre et motiver sa décision.

Le texte du règlement et la loi française sont consultables sur legifrance.gouv.fr pour la partie nationale ; les explications pratiques destinées au public sont publiées par la CNIL, l'autorité française de protection des données.

Exercer un droit : mode d'emploi

1. Identifiez l'interlocuteur : la politique de confidentialité ou les mentions légales du site indiquent le responsable de traitement et, souvent, un délégué à la protection des données (DPO) ou une adresse dédiée aux demandes ;
2. Rédigez une demande écrite, claire et précise (courriel ou formulaire en ligne, courrier recommandé pour les cas importants). Mentionnez le droit exercé et, si besoin, les données ou la période concernée ;
3. Justifiez votre identité si l'organisation en a un doute raisonnable : elle ne doit pas exiger plus que nécessaire, et il est déconseillé d'envoyer un document d'identité sans en limiter l'usage (on peut y ajouter une mention « copie destinée à… » et masquer les informations inutiles) ;
4. Gardez une preuve de votre envoi (accusé de réception, copie de la demande) ;
5. Attendez la réponse : l'organisation doit répondre dans un délai d'un mois, qui peut être prolongé dans certains cas complexes, en vous en informant ;
6. En l'absence de réponse satisfaisante, vous pouvez saisir l'autorité de contrôle : en France, la CNIL accepte les plaintes, notamment via un téléservice dédié sur son site.

L'exercice des droits est gratuit en principe. Les demandes manifestement infondées ou excessives peuvent donner lieu à un refus ou à des frais raisonnables, mais cela reste exceptionnel pour un particulier.

Modèle de demande d'accès (à adapter)

Objet : Demande d'accès à mes données personnelles (article 15 du RGPD)

Madame, Monsieur,

Je vous prie de me communiquer l'ensemble des données personnelles
me concernant que vous détenez, ainsi que les informations suivantes :
finalités du traitement, destinataires, durée de conservation, origine
des données.

Mon identifiant de compte : [à compléter]
Adresse de messagerie associée : [à compléter]

Je vous remercie de me répondre dans le délai d'un mois prévu par le
règlement.

Cordialement,
[Prénom Nom]

Le droit au déréférencement

Dans certaines situations, vous pouvez demander à un moteur de recherche de retirer de ses résultats certaines pages associées à votre nom (information obsolète, inexacte, atteinte à votre vie privée), même si la page reste en ligne sur le site d'origine. Chaque moteur propose un formulaire dédié. En cas de refus, la CNIL peut être saisie. Pour supprimer l'information à la source, il faut s'adresser à l'éditeur du site.

Les fuites de données : vos droits, vos réflexes

Lorsqu'une organisation subit une violation de données (piratage, perte, publication accidentelle), elle doit, dans certains cas, notifier l'autorité de contrôle, et vous informer si le risque pour vous est élevé. Si vous apprenez qu'un de vos comptes est concerné :

• changez immédiatement le mot de passe concerné et tous ceux qui lui ressemblent ;
• activez la double authentification ;
• soyez très vigilant vis-à-vis des messages qui évoquent l'incident ou utilisent vos informations (hameçonnage de suivi) ;
• surveillez vos relevés bancaires si des données financières sont concernées ;
• conservez les messages de l'organisation ; ils peuvent servir en cas de dommage.

Carnet de sécurité : page 5, vos données chez les autres

Commencez une page « Mes droits » dans votre carnet :

1. Listez trois services qui détiennent beaucoup de données sur vous (réseau social, enseigne de vente en ligne, application de transport ou de santé) ;
2. Pour chacun, repérez où se trouve la politique de confidentialité et comment contacter l'organisme pour exercer un droit ;
3. Choisissez un service dont vous n'avez plus l'usage et planifiez sa fermeture avec demande d'effacement.

À vous de jouer

Nora n'utilise plus un service de petites annonces depuis trois ans, mais son compte existe toujours avec son nom, son adresse et son numéro de téléphone. Rédigez les points essentiels d'une demande d'effacement, et indiquez ce qu'elle peut faire si le service ne répond pas.

Les données que vous confiez volontairement ne sont qu'une partie du sujet : une autre partie est collectée en permanence quand vous naviguez. La leçon suivante traite des cookies et des traqueurs publicitaires.