Exercice de droit

Le droit d’opposition

Vos données personnelles apparaissent dans un fichier non obligatoire et vous ne souhaitez plus qu'elles y figurent ? Le droit d’opposition vous permet de vous opposer à ce que vos données soient utilisées par un organisme pour un objectif précis. Vous devez mettre en avant « des raisons tenant à votre situation particulière », sauf en cas de prospection commerciale, à laquelle vous pouvez vous opposer sans motif.

Les droits d’accès et de rectification

L'exercice du droit d’accès permet de savoir si vos données personnelles sont traitées et d’en obtenir la communication dans un format compréhensible. Il permet également de contrôler l'exactitude des données et, au besoin, de les faire rectifier ou effacer.

L’organisme auprès duquel vous demandez votre « droit d’accès » devra vous fournir une copie des données personnelles qu’il détient sur vous ainsi que les informations suivantes :

• les objectifs d’utilisation de vos données (à quoi vont servir vos données) ;
• les catégories de données collectées (par ex. : nom, prénom, adresse, etc.) ;
• l’identité des destinataires auprès desquels vos données sont ou seront communiquées. L’organisme peut se limiter à indiquer les catégories de destinataires (revendeur de données, autre site web, etc.) si leur identification est impossible (en particulier si les destinataires ne sont pas encore connus) ou que la demande est infondée ou excessive ;
• la durée de conservation de vos données ou les critères qui déterminent cette durée ;
• l’existence de vos autres droits (droit de rectification, d’effacement, de limitation, d’opposition) ;
• la possibilité d’adresser une plainte à la CNIL ;
• toute information relative à la source spécifique des données collectées (c’est-à-dire d’où proviennent vos données) si celles-ci n’ont pas été récoltées directement auprès de vous ;
• l'existence d'une prise de décision automatisée (y compris en cas de profilage), le fonctionnement de celle-ci, l’importance et les conséquences pour vous d’une telle décision. Les informations fournies doivent être suffisamment complètes pour que vous compreniez les raisons de la décision ;
• l’éventuel transfert de vos données vers un pays en dehors de l’Union européenne ou vers une organisation internationale.

Le droit d’accès peut s’exercer :

• Par écrit : courrier postal, accompagné d’une copie d’une pièce d’identité. Idéalement, en recommandé avec accusé de réception
• Sur place : avec présentation d'une pièce d’identité. Il est possible de se faire accompagner par la personne de son choix. La consultation doit durer suffisamment longtemps pour prendre note commodément et complètement. Il est possible de demander une copie des données.

Les limites au droit d’accès.

Le responsable du fichier peut :

• refuser la demande d’accès : dans ce cas, il doit motiver sa décision et informer le demandeur des voies et délais de recours permettant de la contester.
• ne pas répondre aux demandes qui sont manifestement abusives notamment par leur nombre, leur caractère répétitif ou systématique (par exemple, demande d’une copie intégrale d’un enregistrement toutes les semaines).

Le droit à la portabilité

Toute personne a le droit de recevoir les données qui la concerne et qu’elle a fournies à un responsable de traitement, de les réutiliser, et de les transmettre à un autre responsable de traitement (article 20 du RGPD).

Le droit à la portabilité permet à toute personne de :

• recevoir dans un format structuré, couramment utilisé et lisible par machine (ordinateur) les données personnelles la concernant déjà fournies à un responsable de traitement ;
• faire transmettre directement ces données à un autre responsable de traitement lorsque c’est techniquement possible.

Droit de définir le sort de vos données après votre mort

Le nouvel article 40-1 de la loi Informatique et libertés permet aux personnes de donner des directives relatives à la conservation, à l'effacement et à la communication de leurs données après leur décès.
Une personne peut être désignée pour exécuter ces directives. Celle-ci a alors qualité, lorsque la personne est décédée, pour prendre connaissance des directives et demander leur mise en œuvre aux responsables de traitement concernés.

Ces directives sont :

• générales, lorsqu’elles portent sur l’ensemble des données concernant une personne ;
• ou particulières, lorsque ces directives ne concernent que certains traitements de données spécifiques.

Lorsque ces directives sont générales et portent sur l'ensemble des données du défunt, elles peuvent être confiées à un tiers de confiance certifié par la CNIL.

Lorsqu’il s’agit de directives particulières, elles peuvent également être confiées aux responsables de traitement (réseaux sociaux, messagerie en ligne) en cas de décès. Elles font l'objet du consentement spécifique de la personne concernée et ne peuvent résulter de la seule approbation par celle-ci des conditions générales d'utilisation.

En l'absence de directives données de son vivant par la personne, les héritiers auront la possibilité d'exercer certains droits, en particulier :

• le droit d'accès, s'il est nécessaire pour le règlement de la succession du défunt ;
• le droit d'opposition pour procéder à la clôture des comptes utilisateurs du défunt et s'opposer au traitement de leurs données.

Droit à la limitation

Le droit à la limitation de vos données est prévu par le RGPD. Si vous contestez l’exactitude des données utilisées par l’organisme ou que vous vous opposez à ce que vos données soient traitées, la loi autorise l’organisme à procéder à une vérification ou à examen de votre demande pendant un certain délai. Pendant ce délai, vous avez la possibilité de demander à l’organisme de geler l’utilisation de vos données. Concrètement, il ne devra plus utiliser les données mais devra les conserver.

Inversement, vous pouvez demander directement la limitation de certaines données dans le cas où l’organisme souhaite lui-même les effacer. Cela vous permettra de conserver les données par exemple afin d’exercer un droit.

Le droit à l’effacement

Qu’il s’agisse d’une photo gênante sur un site internet ou d’une information collectée par un organisme que vous jugez inutile, vous pouvez obtenir son effacement si au moins une de ces situations correspond à votre cas :

• vos données sont utilisées à des fins de prospection ;
• les données ne sont pas ou plus nécessaires au regard des objectifs pour lesquelles elles ont été initialement collectées ou traitées ;
• vous retirez votre consentement à l’utilisation de vos données ;
• vos données font l’objet d’un traitement illicite (par exemple, publication de données  piratées) ;
• vos données ont été collectées lorsque vous étiez mineur dans le cadre de la société de l’information (blog, forum, réseau social, site web…) ;
• vos données doivent être effacées pour respecter une obligation légale ;
• vous vous êtes opposé au traitement de vos données et le responsable du fichier n’a pas de motif légitime ou impérieux de ne pas donner suite à cette demande.

Droit à l’intervention humaine face à votre profilage ou à une décision automatisée

Par principe, vous avez le droit de ne pas faire l’objet d’une décision entièrement automatisée - souvent basée sur votre profilage - qui a un effet juridique ou vous affecte sensiblement. Un organisme peut néanmoins automatiser ce type de décision si l’une de ces conditions est remplie :

• Vous avez donné votre consentement explicite,
• La décision est nécessaire à un contrat que vous avez conclu avec l’organisme,
• La décision automatisée est autorisée par des dispositions légales spécifiques.

Dans ces cas, vous avez quand même la possibilité :

• d’être informé qu’une décision entièrement automatisée a été prise à votre encontre ;
• de demander à connaitre la logique et les critères employés pour prendre la décision ;
• de contester la décision et d’exprimer votre point de vue ;
• de demander l’intervention d’un être humain pour qu'il puisse réexaminer la décision.