Quels sont les droits des personnes prévus par le RGPD ?
%20(1).png)
DPO Consulting Rejoint Grant Thornton
Sommaire
Le droit d'opposition donne à une personne le pouvoir d'arrêter un traitement de ses données personnelles, sans passer par un juge et sans frais. L'article 21 du règlement en fixe les conditions, l'article 12 en fixe les délais.
Pour une entreprise, la difficulté n'est pas le principe, elle est opérationnelle. Qualifier la demande, vérifier la base légale du traitement visé, trancher, documenter la décision et propager l'arrêt dans tous les outils, le tout en un mois. Cet article détaille chaque étape, du côté de la personne concernée comme du côté du responsable de traitement.
Le RGPD accorde huit droits aux personnes concernées, du droit d'être informé au droit de ne pas faire l'objet d'une décision entièrement automatisée. Les droits des personnes RGPD figurent au chapitre III du règlement, aux articles 12 à 22. Le droit d'opposition en fait partie et ne se confond avec aucun des autres. Le tableau ci-dessous résume chaque droit, son article de référence et ce que la personne peut en obtenir.
Certaines sources parlent de 5 droits RGPD, d'autres de 8 droits RGPD. L'écart vient du mode de comptage. Les listes courtes fusionnent l'information et l'accès, ou laissent de côté le retrait du consentement, prévu à l'article 7.3, et la décision automatisée de l'article 22. Pour le détail de chacun des droits des personnes RGPD et de ses conditions, consultez notre guide sur les droits des personnes concernées dans le cadre du RGPD.
L'article 21 du RGPD crée le droit d'opposition et le partage en deux régimes. Le premier vise les traitements fondés sur l'intérêt légitime ou sur une mission d'intérêt public, et s'exerce pour des raisons tenant à la situation particulière de la personne. Le second vise la prospection, où l'opposition s'exerce à tout moment, sans motif à fournir.
Deux obligations complètent le texte. Le droit d'opposition doit être porté explicitement à l'attention de la personne au plus tard lors de la première communication avec elle, et présenté clairement et séparément de toute autre information (article 21.4). Dans le cadre des services en ligne, la personne doit pouvoir s'opposer par des procédés automatisés utilisant des spécifications techniques (article 21.5).
Ces exigences prolongent les obligations d'information des articles 13 et 14. Notre article sur l'information des personnes : comment et à quel moment précise le moment et la forme attendus.
Le droit d'opposition prévu par l'article 21 du RGPD s'applique dans quatre situations, déterminées par la base légale du traitement et par sa finalité. La base légale commande tout. Si le traitement repose sur un contrat, sur une obligation légale ou sur le consentement, l'article 21 ne s'applique pas et la demande doit être requalifiée. Le tableau ci-dessous compare les trois régimes d'opposition et la marge de refus laissée à l'organisme.
Une personne peut s'opposer à tout traitement fondé sur l'intérêt légitime, y compris au profilage fondé sur cette base, pour des raisons tenant à sa situation particulière. Le responsable de traitement cesse alors le traitement, sauf s'il démontre des motifs légitimes et impérieux qui prévalent sur les intérêts, droits et libertés de la personne. La charge de la démonstration pèse sur lui, pas sur le demandeur.
L'opposition à la prospection est absolue. Dès que la personne s'y oppose, les données ne sont plus traitées à ces fins, profilage lié à la prospection compris. Aucun motif légitime impérieux ne peut être invoqué, et aucune justification ne peut être exigée du demandeur. La CNIL attend un retrait de l'adresse de la base de prospection dans les meilleurs délais.
Quand les données sont traitées à des fins de recherche scientifique ou historique au titre de l'article 89.1, la personne peut s'opposer pour des raisons tenant à sa situation particulière. Le traitement peut être maintenu dans un seul cas, celui où il est nécessaire à l'exécution d'une mission d'intérêt public. Un protocole de recherche financé sur fonds publics ne suffit pas à lui seul, la nécessité doit être établie.
Le même régime s'applique aux traitements à des fins statistiques relevant de l'article 89.1. En pratique, les organismes qui réutilisent des données clients pour des analyses internes doivent vérifier si ces analyses relèvent vraiment de l'article 89.1 ou de leur intérêt légitime. La qualification change la règle applicable et la réponse à apporter.
L'exercice du droit se fait directement auprès de l'organisme qui traite les données, sans formalité imposée et sans frais. La CNIL recommande de passer par la page d'exercice des droits ou par les coordonnées du délégué à la protection des données, puis de conserver une preuve de la démarche. Les quatre points ci-dessous couvrent les questions qui bloquent le plus souvent une demande.
La demande peut être adressée par voie électronique, par formulaire, par compte en ligne ou par courrier. Aucun format n'est imposé par le règlement. La personne indique le traitement visé et, hors prospection, les raisons tenant à sa situation particulière. Un accusé de réception n'est pas obligatoire, mais il fixe une date de départ opposable pour le délai d'un mois.
La personne fournit de quoi identifier le traitement et son propre dossier, par exemple un numéro de client ou l'adresse concernée. Aucune pièce d'identité n'est exigée par principe. Le responsable de traitement ne peut demander des informations complémentaires que s'il a des doutes raisonnables sur l'identité du demandeur, au titre de l'article 12.6. La vérification d'identité ne suspend pas le délai de réponse.
Le RGPD n'impose aucune forme à la demande, une opposition formulée oralement est donc recevable. Elle est en revanche difficile à prouver. Un organisme qui reçoit une opposition par téléphone ou en agence doit la consigner, l'horodater et la faire remonter au même circuit que les demandes écrites, faute de quoi le délai court sans que personne ne traite la demande.
Oui, une personne peut mandater un tiers, avocat ou association, pour exercer son droit à sa place. L'organisme peut alors demander la preuve du mandat et l'identité de la personne représentée. La même logique vaut pour les demandes d'accès, détaillées dans notre guide sur les demandes d'accès des personnes concernées (DSAR).
Le responsable de traitement répond dans les meilleurs délais et au plus tard dans un délai d'un mois à compter de la réception de la demande, selon l'article 12.3. Ce délai peut être prolongé de deux mois en raison de la complexité ou du nombre de demandes, à condition d'informer la personne de la prolongation et de ses motifs dans le premier mois. Trois points structurent l'exercice des droits RGPD sur ce terrain.
Un refus n'est possible que hors prospection, et seulement sur l'un des fondements prévus par le règlement. Le refus doit être motivé, documenté et notifié dans le délai d'un mois. Un refus non motivé est un manquement constaté en contrôle, même sans préjudice pour la personne.
Le responsable de traitement peut poursuivre le traitement s'il démontre des motifs légitimes et impérieux qui prévalent sur les intérêts, droits et libertés de la personne. Le niveau d'exigence est élevé, le texte parle bien de motifs impérieux et non d'un simple intérêt commercial. La démonstration s'appuie sur la mise en balance déjà réalisée pour fonder l'intérêt légitime, actualisée au cas d'espèce.
Le traitement peut également être maintenu lorsqu'il est nécessaire à la constatation, à l'exercice ou à la défense de droits en justice. L'exception vise un contentieux identifié ou raisonnablement prévisible, pas une conservation de précaution indéfinie. Pour la recherche et les statistiques, c'est la nécessité d'une mission d'intérêt public qui permet le maintien.
L'opposition prévue à l'article 21.6 ne couvre que les traitements encadrés par les garanties de l'article 89.1, comme la minimisation et la pseudonymisation. Un organisme qui invoque ce régime doit pouvoir montrer que ces garanties sont réellement en place. À défaut, le traitement relève de l'intérêt légitime et le régime plus strict de l'article 21.1 s'applique.
Un refus ou une absence de réponse au bout d'un mois ouvre trois voies, à suivre dans cet ordre. Relancer l'organisme, saisir l'autorité de contrôle, puis engager un recours juridictionnel. Conserver la trace de chaque échange conditionne la suite.
Demandez par écrit le fondement exact du refus, en citant l'article 12.4. L'organisme doit indiquer les motifs de son inaction. Cette relance clarifie souvent un dossier mal qualifié en interne, par exemple une opposition à de la prospection traitée par erreur comme une opposition générale.
En l'absence de réponse satisfaisante sous un mois, la personne peut saisir la CNIL ou l'autorité de contrôle de son État membre, au titre de l'article 77. La plainte s'appuie sur la copie de la demande initiale et sur la réponse reçue. L'autorité peut mettre en demeure l'organisme et, le cas échéant, prononcer une sanction.
L'article 79 ouvre un recours juridictionnel effectif contre un responsable de traitement ou un sous-traitant, indépendamment de la plainte auprès de l'autorité de contrôle. L'article 82 permet par ailleurs de demander réparation du dommage matériel ou moral subi. Les deux voies peuvent être engagées en parallèle.
Quand la difficulté est systémique plutôt qu'individuelle, par exemple un formulaire de désinscription inopérant, signalez le dysfonctionnement au délégué à la protection des données de l'organisme. Les plaintes répétées sur un même mécanisme attirent l'attention de l'autorité de contrôle, qui en tient compte dans ses priorités de contrôle annuelles.
Depuis le 11 août 2026, le démarchage téléphonique des consommateurs est interdit en France sans consentement préalable, et le service Bloctel a cessé. La règle vient de l'article 13 de la loi n° 2025-594 du 30 juin 2025, qui réécrit l'article L223-1 du Code de la consommation, complété par le décret n° 2026-662 du 23 juillet 2026 sur le recueil, la conservation et le retrait du consentement.
Le changement est plus large qu'un simple ajustement de la prospection téléphonique. Pour les appels aux consommateurs, la logique d'opposition laisse la place à une logique de consentement traçable, à prouver appel par appel. Le droit d'opposition de l'article 21.2 continue de s'appliquer aux autres canaux, courriel et courrier postal notamment, et le retrait du consentement devient le mécanisme central côté téléphone. Les entreprises qui prospectent des particuliers en France doivent donc faire coexister deux registres dans le même système, les oppositions et les consentements.
Un droit d'opposition bien géré tient à quatre éléments, un processus, une traçabilité, une propagation technique et une revue régulière. Les sanctions prononcées dans ce domaine portent rarement sur une position juridique discutable, elles portent sur des demandes perdues et des délais dépassés.
Définissez un point d'entrée unique, un responsable nommé et un délai interne inférieur au mois légal, par exemple quinze jours. La première étape du processus doit être une qualification, opposition au titre de l'article 21.1, opposition à la prospection ou retrait de consentement, car la suite du traitement en dépend entièrement.
Consignez la date de réception, le canal, le traitement visé, l'analyse menée, la décision et la date de réponse. Cette documentation est la seule preuve exploitable en cas de contrôle. Elle sert aussi à repérer les demandes répétées sur un même traitement, signe qu'une information ou un mécanisme de désinscription fonctionne mal.
Une opposition à la prospection doit être propagée au CRM, à l'outil d'emailing, aux plateformes publicitaires et aux fichiers transmis à des prestataires. Les réimports de listes anciennes réactivent régulièrement des contacts qui s'étaient opposés. Une liste de suppression centralisée, appliquée à chaque import, évite ce scénario.
Testez le parcours réel d'une demande deux fois par an, depuis le formulaire public jusqu'à la réponse envoyée. Vérifiez au passage que les mentions d'information présentent bien le droit d'opposition séparément, comme l'exige l'article 21.4. Notre liste de contrôle de conformité au RGPD couvre ces points dans un cadre plus large.
DPO Consulting accompagne depuis plus de dix ans des organisations européennes et internationales sur la mise en conformité au RGPD, avec plus de 50 experts internes. L'accompagnement sur l'exercice des droits RGPD couvre la rédaction des procédures, la qualification des demandes, la formation des équipes marketing et support, et le contrôle des mécanismes de désinscription.
Pour savoir où se situent vos écarts, commencez par un audit de conformité RGPD, qui passe en revue vos traitements, vos bases légales et votre circuit de traitement des demandes. Vous pouvez aussi contacter un expert DPO Consulting pour cadrer votre procédure d'opposition avant votre prochaine campagne.
Un mois à compter de la réception de la demande, selon l'article 12.3 du RGPD. Ce délai peut être prolongé de deux mois pour une demande complexe, à condition d'informer la personne dans le premier mois. En matière de prospection, la CNIL attend un retrait de la base dans les meilleurs délais, sans attendre l'échéance du mois.
Oui, lorsque le profilage repose sur l'intérêt légitime ou sur une mission d'intérêt public, ou lorsqu'il est lié à de la prospection. Dans le second cas, l'opposition est absolue. Le profilage fondé sur le consentement relève du retrait de consentement, pas du droit d'opposition.
L'organisme qualifie la demande, vérifie la base légale du traitement visé et décide. Pendant la vérification, la personne peut demander la limitation du traitement au titre de l'article 18.1.d. La réponse doit indiquer soit l'arrêt du traitement, soit les motifs du refus et les voies de recours ouvertes.
Partiellement. L'article 21 permet de s'opposer au profilage fondé sur l'intérêt légitime. Une décision fondée exclusivement sur un traitement automatisé et produisant des effets juridiques relève d'un droit distinct, celui de l'article 22, qui ouvre droit à une intervention humaine et à la contestation de la décision.
Non. Quand le traitement repose sur le consentement, la voie correcte est le retrait du consentement prévu à l'article 7.3, retrait aussi simple à exercer que le consentement l'a été. La CNIL le rappelle explicitement parmi les limites du droit d'opposition. Notre article sur le consentement aux données au RGPD détaille les conditions de validité et de retrait.
Les deux formulations circulent, le règlement, lui, en consacre huit au chapitre III. Les mentions de 5 droits RGPD correspondent à des listes simplifiées destinées au grand public. Les mentions de 8 droits RGPD reprennent le découpage du texte, information, accès, rectification, effacement, limitation, portabilité, opposition et décision automatisée.
.svg)
.png)
.png)
