4.2Droits des personnes & consentement
L'essentiel en 30 secondes
- Des droits, pas des faveurs : accès, rectification, effacement, opposition, portabilité, limitation.
- Consentement exigeant : libre, éclairé, spécifique, univoque — jamais pré-coché, toujours retirable.
- Transmettre, pas improviser : toute demande part au DPO sans délai, le chrono court dès réception.
Mini-cas filé — Karim reçoit une demande d'effacement
Un client écrit à Karim : « supprimez toutes mes données ». Son premier réflexe serait de tout effacer pour bien faire — ou d'ignorer le message pressé. Au lieu d'improviser, Karim transmet la demande au référent données le jour même avec la date de réception, et répond au client que sa demande est prise en charge. Le référent arbitrera ce qui doit vraiment être effacé et ce qui doit être conservé.
Suite du cas 4.1 — Karim passe du repérage des données au bon réflexe face aux droits.
1. Des droits opposables
Le règlement donne des droits à chaque personne : accès (« qu'avez-vous sur moi ? »), rectification, effacement (« droit à l'oubli »), portabilité, opposition, limitation. Ce sont des droits, pas des faveurs : toute organisation doit pouvoir y répondre, généralement sous un mois.
2. Le consentement, une base parmi d'autres
Le consentement doit être libre, éclairé, spécifique et univoque — une case pré-cochée ne suffit pas, et il est retirable aussi facilement qu'il a été donné. Les bandeaux cookies en sont l'application la plus visible.
Mais le consentement n'est qu'une base légale parmi six (contrat, obligation légale, intérêt légitime…) : beaucoup de traitements courants reposent sur le contrat ou la loi, pas sur un consentement. D'où l'importance de laisser le référent qualifier chaque cas.
3. Transmettre, pas improviser
Une demande de droit se transmet au DPO/référent sans délai : le délai de réponse court dès réception, chaque jour perdu compte. Karim transmet le jour même, avec les faits (qui, quand, quoi).
Face à une demande d'effacement, ne jamais improviser : certaines données doivent être conservées (facturation, garantie), d'autres effacées. Effacer tout — ou refuser tout — serait une faute dans les deux sens.
🔎 Exemple concret — 🔎 Exemple concret — Vivre les droits des deux côtés
Karim comprend les droits en les pratiquant des deux côtés :
Côté personne : Karim exerce son droit d'accès (« télécharger mes données »)
→ découvre ce qui est réellement collecté sur lui
Côté salarié : « supprimez mes données » reçu → transmis au DPO le jour même
Formulaire maison vérifié : information présente ? cases pré-cochées (interdit) ?
→ le bon réflexe : transmettre, jamais improviserLecture : exercer un droit soi-même fait comprendre ceux des autres.
Leçon : le chrono court dès réception — dater chaque demande.
Vocabulaire de la section
- Droits des personnes
- Accès, rectification, effacement, opposition, portabilité, limitation : toute personne peut les exercer sur SES données.
Exemple simple : Le client de Karim demande l'effacement ; un collègue pourrait demander la rectification d'une donnée erronée.
Ce que ce n'est pas : des faveurs accordées au bon vouloir de l'entreprise.
Réflexe : recevoir une demande = la dater et la transmettre.
- Droit d'accès
- « Quelles données avez-vous sur moi ? » : l'organisation doit répondre, généralement sous un mois.
Exemple simple : Karim teste le « télécharger mes données » d'un service qu'il utilise pour voir ce qui est collecté.
Ce que ce n'est pas : un résumé approximatif donné oralement des mois plus tard.
Réflexe : orienter vers le circuit officiel, jamais répondre de mémoire.
- Consentement
- L'une des bases légales : libre, spécifique, éclairé, univoque — et retirable aussi facilement qu'il a été donné.
Exemple simple : Karim vérifie un formulaire : aucune case pré-cochée, un oui explicite pour chaque usage.
Ce que ce n'est pas : une case pré-cochée ou un consentement forcé pour accéder au service.
Réflexe : chercher la case pré-cochée : si elle existe, la signaler.
- Bases légales
- Le consentement n'est qu'une base parmi six (contrat, obligation légale, intérêt légitime…) : tout traitement doit s'appuyer sur l'une d'elles.
Exemple simple : Les factures du client de Karim se conservent par obligation légale même s'il demande l'effacement.
Ce que ce n'est pas : croire que tout repose sur le consentement et tout effacer sur demande.
Réflexe : laisser le référent qualifier la base avant toute action.
- Information (transparence)
- Les personnes doivent savoir qui collecte quoi, pourquoi, combien de temps : mentions d'information, politiques de confidentialité.
Exemple simple : Karim vérifie que le formulaire maison affiche finalité, durée et droits avant la signature.
Ce que ce n'est pas : collecter des données sans rien dire de leur usage ni de leur durée.
Réflexe : lire une mention d'information en entier une fois, pour savoir à quoi ça ressemble.
En pratique — En pratique — Vivre les droits des deux côtés
- Côté personne : exercez votre droit d'accès auprès d'un service que vous utilisez (rubrique confidentialité → « télécharger mes données ») — instructif sur ce qui est réellement collecté.
- Côté salarié : si un client vous demandait « supprimez mes données », sauriez-vous quoi faire ? Identifiez le circuit interne (généralement : transmettre au DPO, ne jamais improviser).
- Vérifiez un formulaire de votre organisation : l'information est-elle présente (finalité, droits) ? Les cases de consentement sont-elles pré-cochées (interdit) ?
- Notez la règle du délai : une demande de droit reçue = transmise immédiatement — le chrono court dès réception.
Script prêt à dire — accuser réception d'une demande (20 s)
« J'ai bien reçu votre demande concernant vos données, datée de ce jour, et je la transmets immédiatement à notre référent dédié, qui vous répondra dans les délais prévus. Pouvez-vous me confirmer votre identité pour que le dossier soit complet ? »
À dire ou écrire sans promettre d'effacement ni de délai précis ; transmettre au DPO le jour même.
Modèle copier-coller — fiche de transmission d'une demande
DEMANDE REÇUE LE : _______________ (canal : e-mail / courrier / oral)
DEMANDEUR (identité vérifiée ?) : _______________
DROIT EXERCÉ (accès / effacement / rectification / opposition…) : _______________
DONNÉES / FICHIERS CONCERNÉS : _______________
TRANSMIS AU DPO / RÉFÉRENT LE : _______________
RÉPONSE AU DEMANDEUR (accusé le) : _______________Demande orale au guichet
La reformuler par écrit, la faire dater et la transmettre pareil : l'oral ne dispense ni de tracer ni de transmettre.
Demande agressive ou pressante
Rester courtois, accuser réception, transmettre : la pression ne change ni le circuit ni le délai, elle le rend plus urgent.
Formulaire douteux
Cases pré-cochées ou information absente : photographier et signaler au référent au lieu de « corriger » soi-même.
Cookies du site vitrine
Vérifier que refuser est aussi simple qu'accepter : le bandeau est le consentement le plus visible de l'entreprise.
✓ Bonnes pratiques
- Toute demande datée et transmise sans délai.
- Formulaires : informés, jamais pré-cochés.
- Le consentement n'est pas toujours la base.
✗ Pièges fréquents
- Improviser une réponse d'effacement.
- Cases de consentement pré-cochées.
- Laisser filer le délai sans transmettre.
Points clés à retenir
- Toute personne peut demander l'accès, la correction ou l'effacement de ses données : ce sont des droits, pas des faveurs.
- Une demande de droit se transmet au DPO/référent sans délai — le délai de réponse court dès réception.
- Le consentement doit être libre et explicite : cases pré-cochées et consentements forcés sont illégaux.
- Le consentement n'est pas toujours la bonne base : contrat et obligation légale couvrent beaucoup de traitements courants.
Défi 48h — appliquez demain
Identifiez par écrit le circuit interne d'une demande de droit (qui, quelle adresse, quel délai interne) et vérifiez 1 formulaire maison (information + cases non pré-cochées).
- Je peux citer les 6 droits des personnes.
- Je sais pourquoi on transmet au lieu d'improviser.
- J'ai identifié le circuit interne et vérifié 1 formulaire.
Questions fréquentes
Un client mécontent demande la suppression de toutes ses données : doit-on tout effacer ?
Pas nécessairement : les données nécessaires à une obligation légale (facturation, garantie) sont conservées. C'est précisément pourquoi la demande se transmet au DPO, qui arbitre base légale par base légale.
Que risque-t-on à ignorer une demande d'accès ?
Plainte, mise en demeure, sanction — et une image dégradée. Le non-respect des droits est l'un des premiers motifs de plaintes auprès des autorités de contrôle.
Karim reçoit « supprimez mes données ». Que doit-il faire ?