Vos droits sur vos données personnelles (RGPD) : guide complet

Vous recevez des publicités que vous n'avez pas demandées. Une photo gênante circule. Un ancien CV apparaît quand on tape votre nom. Dans chacun de ces cas, la loi vous donne des moyens d'agir. Ce guide les passe en revue un par un, en s'appuyant uniquement sur les pages de la CNIL (la Commission nationale de l'informatique et des libertés) et sur le texte du RGPD qu'elle publie. Quand ces pages ne précisent pas un point, nous le disons.

Par où commencer : les gestes à faire en premier

Si vous ne devez retenir que quelques étapes, les voici, dans l'ordre.

1. Repérez ce qui vous gêne. Un message publicitaire, une information fausse, un contenu visible en ligne, un doute sur ce qu'un site détient de vous. La nature du problème détermine le droit à utiliser.
2. Identifiez l'organisme. Cherchez sur son site la page consacrée à l'exercice de vos droits. Elle se cache souvent sous « politique de confidentialité », « politique vie privée » ou « mentions légales ».
3. Choisissez le bon droit. Voir ce qui est détenu : accès. Corriger une erreur : rectification. Faire disparaître une donnée : effacement. Refuser un usage : opposition. Geler un usage le temps d'une vérification : limitation. Faire retirer un résultat de recherche associé à votre nom : déréférencement.
4. Écrivez à l'organisme en précisant les données concernées. Par formulaire, par e-mail ou par courrier.
5. Gardez des preuves. Captures d'écran, copie du courriel, accusé de réception pour un courrier postal.
6. Attendez un mois. C'est le délai de réponse de principe.
7. Saisissez la CNIL en cas de silence ou de réponse insatisfaisante, avec les preuves de vos démarches.

Pour savoir quels sujets vous concernent, une photographie de votre exposition peut aider. L'analyse gratuite de Remove Me en propose une, sans compte. Nous y revenons plus bas.

Vos droits en un coup d'œil

La page d'accueil de la CNIL consacrée à vos droits les présente comme autant de portes d'entrée. Le tableau ci-dessous reprend ceux dont traite ce guide, avec l'article du RGPD que la CNIL cite pour chacun.

Chacun de ces droits s'exerce auprès de l'organisme concerné : un site, un magasin, une banque, une administration, un moteur de recherche. La CNIL n'intervient qu'ensuite, si la réponse est absente ou insatisfaisante.

Les règles communes à tous les droits

Avant d'entrer dans le détail, un point important : l'article 12 du RGPD fixe des règles qui valent pour les articles 15 à 22, donc pour la plupart des droits décrits ici. Elles sont utiles à connaître, car elles s'appliquent quel que soit le droit que vous choisissez.

Un langage clair, des démarches facilitées

L'organisme, que le RGPD appelle le « responsable du traitement », doit s'exprimer de façon concise, transparente, compréhensible et aisément accessible, en termes clairs et simples. Cette exigence est soulignée pour les informations destinées à un enfant. Il doit aussi faciliter l'exercice de vos droits.

Les informations sont fournies par écrit ou par d'autres moyens, y compris par voie électronique. Si vous le demandez, elles peuvent être données oralement, à condition que votre identité soit démontrée par d'autres moyens. Si vous présentez votre demande par voie électronique, la réponse l'est aussi, sauf si vous demandez qu'il en soit autrement.

Un délai d'un mois, parfois prolongé

L'organisme doit vous informer des mesures prises dans les meilleurs délais et, en tout état de cause, dans un délai d'un mois à compter de la réception de votre demande. Ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. L'organisme doit alors vous informer de la prolongation et de ses motifs dans le premier mois. Les pages de la CNIL résument ce mécanisme ainsi : un mois, qui peut être porté à trois mois.

La gratuité, et ses exceptions

Aucun paiement n'est exigé pour fournir les informations ni pour traiter vos demandes. Une exception existe : lorsque les demandes sont manifestement infondées ou excessives, notamment parce qu'elles sont répétitives, l'organisme peut exiger des frais raisonnables ou refuser d'y donner suite. Il lui revient de démontrer ce caractère infondé ou excessif.

La vérification de votre identité

Si l'organisme a des doutes raisonnables sur votre identité, il peut vous demander des informations supplémentaires pour la confirmer. La CNIL insiste sur le « si et seulement si » : il ne peut pas réclamer de pièces abusives, non pertinentes ou disproportionnées par rapport à votre demande. L'objectif, explique-t-elle, est notamment d'éviter les usurpations d'identité.

Si l'organisme refuse d'agir

Il doit vous en informer sans tarder, et au plus tard dans un délai d'un mois, en indiquant les motifs de son inaction. Il doit aussi vous rappeler que vous pouvez introduire une réclamation auprès d'une autorité de contrôle (en France, la CNIL) et former un recours juridictionnel.

Le droit à l'information : savoir ce qui est fait de vos données

Dans le chapitre III du RGPD, ce droit vient en premier : il fait l'objet des articles 13 et 14, avant l'accès. Pour la CNIL, toute personne a un droit de regard sur ses propres données. Quiconque met en œuvre un fichier ou un traitement de données personnelles doit donc informer les personnes concernées. Cela concerne notamment :

• son identité ;
• l'objectif de la collecte ;
• le caractère obligatoire ou facultatif des informations demandées ;
• les destinataires des informations ;
• les droits reconnus à la personne ;
• les éventuels transferts de données vers un pays hors de l'Union européenne.

Quand vos données viennent de vous

L'article 13 du RGPD s'applique lorsque les données sont collectées auprès de vous, par exemple quand vous remplissez un formulaire. L'organisme doit alors vous fournir les informations au moment où les données sont obtenues. Le texte en dresse une liste longue. On y trouve l'identité et les coordonnées de l'organisme, celles du délégué à la protection des données le cas échéant, les finalités et la base juridique du traitement, les destinataires, la durée de conservation ou les critères pour la déterminer, ainsi que l'existence de vos droits. Il y a aussi le droit de retirer votre consentement quand le traitement repose dessus, le droit d'introduire une réclamation auprès d'une autorité de contrôle, et l'existence d'une décision automatisée, y compris un profilage, avec des informations utiles sur sa logique.

Quand vos données viennent d'ailleurs

L'article 14 couvre le cas où les données n'ont pas été collectées auprès de vous. C'est la situation qui nous intéresse le plus quand on se demande « comment ont-ils eu mes coordonnées ? ». L'organisme doit alors ajouter les catégories de données concernées et la source d'où proviennent les données, avec, le cas échéant, une mention indiquant si elles sont issues de sources accessibles au public.

Le texte fixe aussi le calendrier. L'information doit être donnée dans un délai raisonnable ne dépassant pas un mois. Si les données servent à vous contacter, elle doit être fournie au plus tard lors de la première communication avec vous. Si elles doivent être communiquées à un autre destinataire, elle l'est au plus tard lors de cette première communication.

Les exceptions

Ces obligations ne s'appliquent pas si vous disposez déjà des informations. L'article 14 prévoit en plus d'autres cas : information impossible ou exigeant des efforts disproportionnés, obligation expressément prévue par le droit de l'Union ou d'un État membre, secret professionnel réglementé. Les pages consultées n'illustrent pas ces cas par des exemples concrets, et nous n'en inventerons pas.

Le droit d'accès : voir ce qu'un organisme détient sur vous

Le droit d'accès vous permet de demander à un organisme (site web, magasin, banque, administration) s'il détient des données vous concernant, et de vous les faire communiquer pour en vérifier le contenu. Il sert aussi de point de départ à d'autres démarches : une fois les données sous les yeux, vous pouvez en contrôler l'exactitude et, au besoin, les faire rectifier ou effacer.

Ce que l'organisme doit vous remettre

En plus d'une copie des données, il doit vous fournir, selon la CNIL :

• les objectifs d'utilisation de vos données ;
• les catégories de données collectées (nom, prénom, adresse, etc.) ;
• l'identité des destinataires, ou au moins leurs catégories si leur identification est impossible. La CNIL cite l'exemple d'un « revendeur de données » ou d'un autre site web ;
• la durée de conservation ou les critères qui la déterminent ;
• l'existence de vos autres droits : rectification, effacement, limitation, opposition ;
• la possibilité d'adresser une plainte à la CNIL ;
• la source des données, si elles n'ont pas été récoltées auprès de vous ;
• l'existence d'une décision automatisée, y compris un profilage, son fonctionnement et ses conséquences pour vous ;
• l'éventuel transfert de vos données hors de l'Union européenne.

Des situations concrètes

La CNIL en cite plusieurs : savoir si vous figurez encore dans un fichier qui limite l'accès à des services du quotidien (elle mentionne Préventel, le fichier central des chèques et le fichier des incidents de remboursement des crédits), obtenir les données de votre dossier médical auprès d'un professionnel de santé, ou récupérer ce qu'un réseau social détient sur vous. Beaucoup de services en ligne proposent d'ailleurs de télécharger une copie de vos données en quelques clics depuis une page dédiée.

Comment faire

Trouvez la page d'information de l'organisme, puis choisissez un canal : formulaire, adresse e-mail, bouton de téléchargement ou courrier. Si les coordonnées du délégué à la protection des données sont introuvables, la CNIL renvoie vers une fiche pratique. Elle propose aussi un générateur de courrier et des modèles adaptés à plusieurs situations : organisme financier, vidéosurveillance, géolocalisation, dossier médical, fichiers FCC ou FICP, Préventel.

L'accès est gratuit. Des frais raisonnables peuvent toutefois être demandés dans certains cas, par exemple pour une copie supplémentaire.

Si la réponse est incomplète

La CNIL recommande de demander d'abord à l'organisme de compléter sa réponse avec les données que vous jugez manquantes. Si rien ne change, vous pouvez adresser une plainte, avec les justificatifs de vos démarches.

Les limites

• Pour certains fichiers de police ou intéressant la sûreté de l'État, la loi n'autorise pas l'accès direct. Il passe alors de manière indirecte par la CNIL.
• L'organisme peut ne pas donner suite à une demande infondée ou excessive, à condition d'en apporter la preuve.
• Seules vos données peuvent être communiquées : le droit des tiers est protégé. La propriété intellectuelle (par exemple le droit d'auteur sur un logiciel) et le secret des affaires constituent d'autres limites.

Le droit de rectification : corriger ce qui est faux

La définition de la CNIL est brève : toute personne peut faire rectifier, compléter, actualiser, verrouiller ou effacer des informations la concernant lorsque des erreurs ou des inexactitudes ont été décelées. Cela vaut aussi lorsque des données sont présentes alors que leur collecte, leur utilisation, leur communication ou leur conservation est interdite. L'article correspondant du RGPD est le 16.

Un exemple tiré des pages de la CNIL

Sur la page consacrée à la limitation du traitement, la CNIL évoque un site de commerce en ligne auquel vous signalez des données erronées. Tant que la vérification n'est pas terminée, vous pouvez demander à l'organisme de ne plus utiliser ces informations.

Ce que les sources ne détaillent pas

Les pages que nous avons consultées ne décrivent pas de procédure propre à la rectification. Elles ne précisent pas non plus de liste de motifs de refus. Ce que l'on peut dire avec certitude, c'est que la demande relève des articles 15 à 22 : les règles communes vues plus haut s'appliquent donc. Réponse sous un mois, prolongeable, gratuité de principe, vérification d'identité encadrée et possibilité de saisir la CNIL en cas de silence.

Le droit à l'effacement : demander la suppression de données

Le texte du RGPD l'intitule aussi « droit à l'oubli » (article 17). La CNIL le résume ainsi : vous avez le droit de demander à un organisme l'effacement de données à caractère personnel vous concernant.

Dans quels cas peut-on l'invoquer

Vous pouvez obtenir l'effacement si au moins l'une de ces situations correspond à votre cas :

• vos données sont utilisées à des fins de prospection ;
• elles ne sont pas ou plus nécessaires au regard des objectifs pour lesquels elles ont été collectées ;
• vous retirez votre consentement à leur utilisation ;
• elles font l'objet d'un traitement illicite (la CNIL cite la publication de données piratées) ;
• elles ont été collectées alors que vous étiez mineur, dans le cadre de la société de l'information (blog, forum, réseau social, site web) ;
• elles doivent être effacées pour respecter une obligation légale ;
• vous vous êtes opposé au traitement et le responsable du fichier n'a pas de motif légitime ou impérieux de refuser.

La CNIL donne trois illustrations. Vous fermez votre compte sur un site de commerce en ligne et demandez l'effacement des données associées. Un contenu gênant est visible sur un réseau social : vous demandez sa suppression directement au site. Un lien vers un contenu gênant ressort à votre nom : vous contactez le moteur de recherche (voir plus bas, le déréférencement).

Comment procéder

Identifiez l'organisme, trouvez sa page d'exercice des droits, puis envoyez votre demande par voie électronique ou par courrier. La CNIL insiste sur un point : indiquez précisément les données à effacer. Ce droit n'entraîne pas la suppression simple et définitive de toutes vos données. Une demande d'effacement de votre photo sur un site n'aboutira pas à la suppression de votre compte. Une demande de suppression de compte n'entraînera pas celle des factures et documents comptables, soumis à une obligation légale de conservation.

Les limites du droit

La CNIL parle d'un nombre de cas limité. L'effacement ne doit pas aller à l'encontre :

• de la liberté d'expression et d'information ;
• d'une obligation légale (exemple donné : la facture se conserve 10 ans) ;
• de l'utilisation de données relevant d'un intérêt public dans le domaine de la santé ;
• d'un usage à des fins archivistiques dans l'intérêt public, de recherche scientifique ou historique, ou statistiques ;
• de la constatation, de l'exercice ou de la défense de droits en justice.

La CNIL renvoie aussi à une question distincte : peut-on demander la suppression de données figurant dans un article de presse en ligne ? Les pages consultées n'en donnent pas la réponse. Nous ne la détaillons donc pas ici.

Le droit d'opposition : refuser un usage précis

L'article 21 du RGPD fonde ce droit. Vous pouvez vous opposer à tout moment à ce qu'un organisme utilise certaines de vos données. Il s'applique à des fichiers que la loi n'impose pas : si vos données y figurent et que vous ne le souhaitez plus, vous pouvez le demander.

Avec ou sans motif

Par principe, vous devez mettre en avant « des raisons tenant à votre situation particulière ». La grande exception concerne la prospection commerciale : vous pouvez vous y opposer sans motif. C'est la réponse directe au démarchage par e-mail, téléphone, SMS ou courrier.

La CNIL cite trois situations : des e-mails publicitaires reçus sur votre messagerie personnelle, une décision défavorable liée à un profilage que vous souhaitez contester, et le refus de figurer dans l'annuaire universel des abonnés au téléphone.

L'exemple de la désinscription

La CNIL raconte le cas de Romain, qui ne veut plus recevoir les promotions d'une boutique en ligne. Il clique sur le lien de désinscription en bas du courriel et reçoit la confirmation de sa sortie de la base. Ses coordonnées pourront toujours servir à gérer ses commandes, mais il ne recevra plus de prospection de cette société. Il a gardé des captures d'écran, ce qui lui permettrait de se plaindre à la CNIL si les messages reprenaient.

Comment faire

Identifiez l'organisme, puis expliquez dans votre demande quelles données vous voulez voir supprimer et pour quelles raisons tenant à votre situation. Vous pouvez agir par voie électronique (formulaire, e-mail, compte en ligne) ou par courrier, sans apporter de justificatifs. La CNIL propose des modèles pour l'opposition à la prospection commerciale (téléphone, SMS, e-mails, courriers) et pour l'opposition à la réception de publicités.

Délais et réponses possibles

• Prospection commerciale : l'organisme doit effacer votre adresse e-mail de sa base de prospection dans les meilleurs délais.
• Autre information à retirer d'une base : il dispose d'un mois pour répondre.

Dans les deux cas, face à un silence ou à une réponse insatisfaisante, vous pouvez saisir la CNIL. Hors prospection, l'organisme doit prouver que des motifs légitimes et impérieux l'obligent à continuer, ou que les données sont nécessaires pour constater, exercer ou défendre des droits en justice.

Les limites

L'opposition n'est pas un droit à la suppression simple et définitive de toutes vos données ni de votre compte. Seule une rupture de contrat permet, par exemple, de supprimer un compte chez un opérateur mobile ou un site de e-commerce. Hors prospection, l'organisme peut justifier un refus par l'une de ces raisons :

• des motifs légitimes et impérieux, ou la défense de droits en justice ;
• votre consentement : dans ce cas, il faut le retirer plutôt que s'opposer ;
• un contrat qui vous lie à l'organisme ;
• une obligation légale de traiter vos données ;
• la sauvegarde d'intérêts vitaux, les vôtres ou ceux d'une autre personne.

Le droit à la limitation : geler l'usage de vos données

Le droit à la limitation (article 18) vous permet de demander à un organisme de geler temporairement l'utilisation de certaines de vos données. Concrètement, il ne doit plus les utiliser, mais il doit les conserver.

À quoi il sert

La CNIL décrit deux usages.

1. Le temps d'une vérification. Si vous contestez l'exactitude de données ou vous opposez à leur traitement, l'organisme a un certain délai pour vérifier ou examiner votre demande. Pendant ce temps, vous pouvez demander le gel.
2. Pour empêcher une suppression. Si l'organisme veut lui-même effacer des données, vous pouvez demander leur limitation pour les conserver, par exemple afin d'exercer un droit.

Trois exemples de la CNIL

• Une demande d'accès à une caméra de vidéosurveillance : la CNIL rappelle que les images ne doivent pas être conservées plus d'un mois. La limitation sert à exiger que la vidéo ne soit pas supprimée si vous voulez l'utiliser dans une procédure.
• Une photo gênante publiée sur un réseau social à laquelle vous vous opposez : le temps de savoir s'il existe un motif légitime de la conserver, l'organisme doit la dépublier.
• Une information fausse sur vous : en attendant la vérification et la correction, vous pouvez demander qu'elle ne soit plus utilisée.

Comment l'exercer

La limitation complète vos autres demandes : exercez d'abord vos droits auprès de l'organisme. Il dispose d'un mois pour répondre à une demande de rectification ou d'opposition, et peut prolonger ce délai. C'est durant cette période de prolongation que l'organisme doit geler les données concernées. Les pages consultées ne fixent pas de délai spécifique pour la limitation elle-même.

Les limites

L'organisme doit vous informer que la limitation est effective. Une fois les données gelées, elles ne peuvent servir que dans quatre cas :

• vous avez donné votre accord ;
• la constatation, l'exercice ou la défense de droits en justice ;
• la protection des droits d'une autre personne physique ou morale ;
• des motifs importants d'intérêt public de l'Union ou d'un État membre.

Le droit au déréférencement : agir sur les résultats de recherche

Si le problème est un résultat qui s'affiche quand on tape votre nom, ce droit est le plus adapté. Il permet de faire supprimer un ou plusieurs résultats fournis par un moteur de recherche à partir d'une requête portant sur votre nom et prénom. La CNIL le rattache à l'article 17 du RGPD.

Ce qu'il change, et ce qu'il ne change pas

La CNIL est très claire. Le déréférencement ne conduit pas à effacer l'information sur le site source. Le contenu reste accessible en passant par d'autres critères de recherche ou en allant directement sur le site. Pour le retirer à la source, elle recommande une demande d'effacement auprès du responsable du site.

Elle donne trois exemples : des propos gênants sur un blog dont le propriétaire refuse de les supprimer ou a perdu ses accès ; un ancien CV qui apparaît à votre nom sans que le site accepte de le retirer ; des informations sur votre activité du week-end diffusées par le site d'une association alors que vous ne voulez pas qu'un recruteur les trouve.

Les étapes

1. Trouvez le formulaire du moteur de recherche. La CNIL indique que Bing, Google, Qwant et Yahoo! EMEA Ltd proposent un formulaire de demande en ligne. Pour les autres moteurs, elle renvoie vers une fiche pratique qui aide à retrouver leurs coordonnées.
2. Désignez le résultat. Indiquez précisément l'adresse web (URL) du résultat visé. Faites un clic droit sur le lien et choisissez « copier l'adresse du lien ».
3. Motivez votre demande. Expliquez pourquoi vous voulez que ce lien soit déréférencé.
4. Gardez une copie. Faites une capture d'écran de votre demande et de la réponse.

Comme pour les autres droits, le moteur peut demander une preuve d'identité s'il a des doutes raisonnables, mais pas de pièces abusives ou disproportionnées.

Délais et refus

Le moteur dispose d'un mois, qui peut être porté à trois mois avec explication des raisons de la prolongation. En l'absence de réponse ou en cas de réponse insatisfaisante, vous pouvez adresser une plainte à la CNIL, par courrier ou en ligne. Elle vous demandera la copie de votre demande et celle de la réponse.

Les limites

• La demande ne vise que les résultats qui apparaissent quand on saisit votre nom et prénom.
• Un résultat déréférencé reste accessible à partir de recherches faites sans votre nom et prénom.
• Si le moteur démontre que l'information doit être portée à la connaissance du public, il peut refuser.

Vérifier que cela a fonctionné

Le laboratoire de la CNIL a développé une extension de navigateur (Firefox et Chrome). Elle permet de déterminer si un lien apparaît ou non parmi les résultats d'un moteur de recherche à la saisie de votre nom, et donc de vérifier qu'il a bien été déréférencé après votre demande.

Exercer un droit pas à pas

Les pages de la CNIL décrivent la même démarche pour chaque droit. La voici sous forme de liste, sans répéter ce qui précède.

Avant d'écrire

Notez ce que vous voulez obtenir, en une phrase. Listez les données ou les résultats visés. Pour l'effacement, cette précision conditionne le résultat. Pour le déréférencement, c'est l'URL qui compte. Relevez la page où l'organisme explique comment exercer vos droits.

En écrivant

• Nommez le droit que vous exercez, et citez l'article du RGPD si vous le souhaitez. Le modèle de la CNIL le fait.
• Précisez la forme de réponse voulue. Si vous écrivez par voie électronique, la réponse arrivera par cette voie, sauf indication contraire de votre part.
• Si vous écrivez par courrier, demandez un accusé de réception : il prouvera la date de votre démarche.

Après l'envoi

• Conservez votre demande et toute réponse. Pour une démarche en ligne, faites des captures d'écran. La CNIL donne le raccourci « impr écran » sur PC et « cmd + MAJUSCULE + 4 » sur Mac.
• Notez la date. Un mois plus tard, sans réponse ni annonce de prolongation, vous pouvez agir auprès de la CNIL.
• Pendant l'attente, envisagez la limitation du traitement si vous voulez que vos données ne soient plus utilisées en attendant.

Délais, refus et plainte auprès de la CNIL

Le calendrier en résumé

• Un mois : délai de réponse de principe.
• Jusqu'à trois mois : en cas de complexité ou de nombre de demandes, avec explication dans le premier mois.
• Opposition à la prospection : effacement de l'adresse dans les meilleurs délais.
• Information sur vos données reçues d'ailleurs (article 14) : au plus tard un mois après l'obtention des données, ou plus tôt selon l'usage prévu.

Quand saisir la CNIL

Trois situations ressortent des pages consultées : absence de réponse, réponse insatisfaisante, réponse incomplète. Pour cette dernière, la CNIL recommande d'abord de demander à l'organisme de compléter. Dans tous les cas, vous devez d'abord avoir exercé votre droit auprès de l'organisme, puis joindre les éléments qui l'attestent.

Comment déposer une plainte

La CNIL propose un service de plainte en ligne. Il fonctionne en trois temps : choix d'une rubrique, précision de la demande, puis vos démarches. Les thèmes proposés sont Banque et Crédit, Commerce, Internet, Téléphonie, Travail et Autres cas. La plainte peut aussi être envoyée par courrier, comme le précise la CNIL à propos du déréférencement.

Les pages consultées ne donnent pas le délai moyen de traitement d'une plainte ni les suites possibles. Nous ne pouvons donc rien en dire. Elles rappellent seulement, via l'article 12, que l'organisme qui refuse d'agir doit vous informer de la possibilité d'un recours juridictionnel. Les modalités de ce recours ne sont pas détaillées.

Un modèle de courrier prêt à adapter

La CNIL met à disposition des modèles à personnaliser, dont un pour supprimer des données personnelles. Elle précise que les informations saisies dans son formulaire sont facultatives et qu'elle n'en conserve aucune. Voici la trame de ce modèle, avec les champs à remplir entre crochets :

En application de l'article 17.1 du Règlement général sur la protection des données (RGPD), je vous prie d'effacer de vos fichiers les données personnelles suivantes me concernant : [informations à supprimer]

Je demande que ces informations soient supprimées car : [motif de la suppression]

Vous voudrez bien également notifier cette demande d'effacement de mes données aux organismes auxquels vous les auriez communiquées (article 19 du RGPD).

Enfin, je vous prie de m'informer de ces éléments dans les meilleurs délais et au plus tard dans un délai d'un mois à compter de la réception de ce courrier (article 12.3 du RGPD).

À défaut de réponse de votre part dans les délais impartis ou en cas de réponse incomplète, je saisirai la Commission nationale de l'informatique et des libertés (CNIL) d'une réclamation.

Je vous prie d'agréer, Madame, Monsieur, l'expression de mes salutations distinguées.

Trois remarques pour l'utiliser. Le champ « informations à supprimer » doit rester précis, pour les raisons vues plus haut. Le motif peut s'appuyer sur la liste des sept situations de l'effacement. Et ce modèle s'adresse à l'effacement : pour l'accès, l'opposition ou la clôture d'un compte, la CNIL propose d'autres modèles sur son site.

Ce que Remove Me peut et ne peut pas faire pour vous

Exercer ses droits suppose de savoir où chercher. C'est là qu'intervient l'analyse gratuite de Remove Me. Vous saisissez vos informations, sans créer de compte. Le service recherche ensuite des résultats web publiquement visibles, des fuites de données connues (via Have I Been Pwned) et un registre de courtiers en données, puis affiche un bilan. Ce bilan se débloque avec un code à 6 chiffres envoyé par e-mail.

Deux précisions d'honnêteté. Un bilan vide ne prouve pas que rien n'existe : l'analyse ne voit que ce qui est publiquement visible. Et Remove Me n'envoie pas encore de demandes d'effacement en votre nom : les courriers et formulaires décrits dans ce guide restent à adresser vous-même.

<!-- cta -->

Pour voir ce que le web sait de vous avant d'écrire à qui que ce soit, vous pouvez lancer l'analyse gratuite.

Ce que les sources ne précisent pas

Ce guide s'en tient aux pages de la CNIL fournies. Plusieurs points restent donc ouverts :

• la procédure détaillée de la rectification, qui n'a pas de page dédiée dans les sources consultées ;
• la réponse de la CNIL sur la suppression de données dans un article de presse en ligne, simplement mentionnée ;
• le délai de traitement d'une plainte et ses suites ;
• les modalités d'un recours devant un juge ;
• le détail des règles propres à chaque type de fichier (police, justice, renseignement), que la CNIL traite sur des pages distinctes.

Pour ces sujets, reportez-vous directement aux pages de la CNIL. Elles font foi sur ce guide, qui n'en est qu'une lecture.

En résumé

Vos droits forment un ensemble cohérent. L'information vous dit ce qui est fait de vos données, l'accès vous le montre, la rectification corrige les erreurs, l'effacement et l'opposition retirent ou arrêtent un usage, la limitation gèle la situation le temps d'une vérification, et le déréférencement agit sur les résultats de recherche liés à votre nom. Tous s'exercent d'abord auprès de l'organisme concerné, avec des preuves à conserver et un délai de principe d'un mois. La CNIL intervient ensuite, si la réponse manque ou ne vous satisfait pas.