Ce qui compte comme donnée personnelle
Bien plus que le nom et l'adresse : un identifiant publicitaire, une adresse IP, un historique de navigation, une position GPS, une photo, une empreinte vocale (CNIL). Dès qu'une information permet de remonter à une personne, directement ou en la recoupant avec une autre, elle est concernée (RGPD, art. 3 et 4).
Une sous-catégorie bénéficie d'une protection renforcée dans la quasi-totalité des législations modernes : santé, vie sexuelle, orientation sexuelle, convictions religieuses ou politiques, données biométriques, origine ethnique (RGPD, art. 5 à 9). Pour un site de rencontre, une application de suivi du cycle ou un service de santé, cela change tout : leur traitement suppose en principe un consentement explicite, révocable à tout moment (RGPD, art. 5 à 9).
Cinq principes que l'on retrouve partout
- Finalité : les données sont collectées pour un objectif annoncé, et pas utilisées pour un autre (RGPD, art. 5 à 9).
- Minimisation : on ne collecte que ce qui est nécessaire à cet objectif (RGPD, art. 5 à 9).
- Durée limitée : les données ne sont pas conservées indéfiniment (RGPD, art. 5 à 9).
- Sécurité : l'organisme répond de leur protection, et doit signaler les violations graves (RGPD, art. 32 à 34).
- Transparence : vous devez savoir qui traite quoi, pourquoi, et pour combien de temps (RGPD, art. 5 à 9).
Le droit d'accès, l'outil le plus puissant
C'est le plus efficace et le moins utilisé. Il oblige un organisme à vous dire quelles données il détient, d'où elles viennent, à qui elles ont été transmises et pendant combien de temps elles seront conservées (CNIL, 2023). C'est le point de départ naturel de toute demande d'effacement, parce qu'on ne peut pas faire supprimer ce dont on ignore l'existence.
La demande tient en quelques lignes : identifier le service, viser le texte applicable dans votre pays, demander une copie des données et la liste des destinataires (RGPD, art. 12 à 21), dater et conserver la preuve d'envoi (CNIL, 2023). Le délai de réponse va d'une vingtaine de jours à un mois selon les pays (RGPD, art. 12 à 21), et la démarche est gratuite presque partout (RGPD, art. 12 à 21).
Effacement, opposition, portabilité
L'effacement s'obtient lorsque les données ne sont plus nécessaires, que le consentement est retiré ou que le traitement est illicite (RGPD, art. 12 à 21) — mais il cède devant certaines obligations légales de conservation (RGPD, art. 12 à 21). L'opposition à la prospection commerciale est en revanche quasi absolue dans la plupart des systèmes (RGPD, art. 12 à 21). La portabilité, plus récente, permet de récupérer ses données dans un format réutilisable pour les emporter ailleurs (RGPD, art. 12 à 21).
Le réflexe qui vaut partout
Ce n'est pas le siège social du service qui détermine vos droits, mais votre lieu de résidence : la plupart des lois modernes s'appliquent dès qu'un service vise des personnes situées sur le territoire (RGPD, art. 3 et 4), même s'il est hébergé à l'autre bout du monde. Et lorsqu'un service opère aussi dans un ensemble régional doté d'une réglementation exigeante, invoquer ce texte en parallèle de la loi nationale donne souvent des résultats plus rapides.
Le droit pays par pays
Le cadre juridique, les démarches, les délais et les coûts diffèrent d'un pays à l'autre. Chaque pays ci-dessous dispose d'une fiche détaillée : textes applicables, faits marquants, démarches réelles, coûts, adresses utiles et pièges à éviter.
Cliquez sur un pays pour ouvrir sa fiche détaillée.
