Article 21 RGPD : le droit d'opposition en pratique

Le droit d’opposition est celui que les entreprises gèrent le plus mal. Parce qu’il n’est ni absolu comme le retrait de consentement, ni automatique comme l’effacement : il dépend de la base légale du traitement, du motif invoqué par la personne et du contexte du traitement. L’Art. 21 du RGPD en pose le régime en six paragraphes qui se lisent ensemble. Le confondre avec un simple « je ne veux plus » coûte cher — la CNIL a sanctionné plusieurs fois ce manquement sur le fondement de l’Art. 83(5)(b).

Ce que dit l’article 21 du RGPD

L’Art. 21 s’intitule « Droit d’opposition ». Il organise la faculté pour la personne concernée de s’opposer au traitement de ses données dans trois cas distincts, et impose au responsable de traitement une obligation d’information anticipée. Les six paragraphes ne traitent pas d’une obligation unique mais de situations différentes qu’il faut savoir distinguer :

• l’Art. 21(1) encadre l’opposition à un traitement fondé sur l’intérêt public (Art. 6(1)(e)) ou l’intérêt légitime (Art. 6(1)(f)), sous condition de raisons tenant à la situation particulière ;
• l’Art. 21(2) et (3) consacrent un droit d’opposition absolu pour les finalités de prospection ;
• l’Art. 21(4) impose d’informer la personne de ce droit au plus tard lors de la première communication ;
• l’Art. 21(5) admet l’exercice de ce droit par des procédés automatisés ;
• l’Art. 21(6) prévoit un régime spécifique pour la recherche scientifique, historique ou statistique.

Les sanctions encourues relèvent du plafond haut : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial (Art. 83(5)(b)). Le non-respect de ce droit est également très fréquemment invoqué dans les plaintes adressées à la CNIL — il fait partie du socle contentieux, au même titre que le droit d’accès et le droit à l’effacement.

Art. 21(1) : l’opposition liée à la base légale

Le paragraphe 1 est celui que les entreprises comprennent le moins. Il n’ouvre pas un droit général de refuser tout traitement : il n’existe que pour les traitements fondés sur deux bases légales limitativement énumérées — la mission d’intérêt public (Art. 6(1)(e)) et l’intérêt légitime (Art. 6(1)(f)).

Pourquoi seulement ces deux bases légales ?

Parce que pour les autres bases prévues à l’Art. 6, la personne dispose déjà d’autres leviers. Elle peut retirer son consentement (Art. 7(3)), résilier le contrat qui fonde le traitement (Art. 6(1)(b)), ou constater que la finalité légale a disparu (Art. 6(1)©). L’opposition n’aurait pas d’objet. Ce n’est que lorsque le traitement est décidé unilatéralement par une autorité publique ou par l’entreprise elle-même qu’un contrepoids spécifique est nécessaire — c’est précisément ce que fait l’Art. 21(1).

Concrètement, face à une demande d’opposition, le premier réflexe est d’identifier la base légale du traitement visé. Sur un traitement fondé sur le consentement, la réponse n’est pas « opposition accordée » mais « retrait du consentement acté » — la distinction n’est pas que sémantique, elle conditionne la procédure interne et la traçabilité.

Le test des « motifs légitimes et impérieux »

L’Art. 21(1) précise que l’opposition doit être faite « pour des raisons tenant à [la] situation particulière » de la personne. Elle n’a pas à démontrer un préjudice, mais elle doit invoquer une situation concrète : un harcèlement, un changement de circonstances, un risque particulier. Le responsable de traitement ne traite alors plus les données, « à moins qu’il ne démontre qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne ».

La charge de la preuve bascule. Ce n’est pas à la personne d’établir que son opposition est fondée, c’est au responsable de traitement de démontrer que ses motifs sont « impérieux » — terme plus exigeant que les simples « intérêts légitimes » de l’Art. 6(1)(f). La CJUE, dans l’arrêt Meta Platforms (C-252/21, 4 juillet 2023), a rappelé que la pondération doit tenir compte des attentes raisonnables de la personne et de l’ampleur de l’ingérence dans ses droits.

Une réponse standardisée « notre intérêt prévaut » ne suffit pas. Il faut documenter, au cas par cas, la mise en balance qui a conduit à écarter l’opposition. Faute de quoi la CNIL considérera la demande comme irrégulièrement traitée — c’est un point que j’ai vu revenir plusieurs fois en conseil auprès d’éditeurs B2B qui industrialisaient leurs réponses.

Art. 21(2) et (3) : l’opposition absolue en matière de prospection

Les paragraphes 2 et 3 constituent la disposition la plus opérationnelle de l’Art. 21. Dès lors que les données sont traitées à des fins de prospection — commerciale, marketing, démarchage —, le droit d’opposition est absolu. Aucune pondération, aucune exception, aucune mise en balance d’intérêts.

Portée concrète du droit

« Les données à caractère personnel ne sont plus traitées à ces fins » : la formule de l’Art. 21(3) ne laisse aucune marge. Le profilage associé à la prospection est inclus dans ce droit, ce qui vise notamment :

• l’envoi d’emails marketing ou de newsletters commerciales ;
• les appels de démarchage téléphonique ;
• les SMS promotionnels ;
• les campagnes publicitaires ciblées fondées sur un profil (retargeting, lookalike) ;
• l’enrichissement de fichiers à des fins commerciales.

En pratique, un désabonnement newsletter vaut opposition à la prospection. Il ne peut pas être conditionné à la création d’un compte, au remplissage d’un formulaire complexe ou à l’envoi d’une lettre recommandée. L’Art. 12(2) impose que l’exercice du droit soit facilité et gratuit.

Le cas de la prospection B2B

La question revient constamment : le régime est-il le même en B2B ? La réponse est oui, dès lors que les données traitées sont des données personnelles — ce qui est le cas d’une adresse email nominative type prenom.nom@entreprise.fr. L’Art. 21(2) ne distingue pas selon la qualité de la personne. La CNIL a rappelé cette règle dans ses lignes directrices sur la prospection commerciale (révisées en 2024) et l’a appliquée dans la délibération SAN-2024-008 (Free Mobile, sanction liée notamment à la gestion des oppositions). Voir aussi mon guide dédié à la prospection commerciale RGPD.

La seule exception pratique : la prospection B2B non nominative (contact@societe.fr, info@societe.fr) ne déclenche pas le régime de l’Art. 21 parce qu’elle ne porte pas sur des données personnelles. Mais cette distinction est étroite et ne survit généralement pas à un enrichissement fondé sur LinkedIn ou sur des outils de scraping.

La brique technique indispensable

Le respect effectif de l’Art. 21(2) suppose une liste d’exclusion centralisée : un registre unique où sont consignées toutes les oppositions à la prospection, consulté automatiquement avant tout envoi. Sans ce dispositif, un nouvel import de contacts, un changement de CRM ou une campagne confiée à un prestataire peut réactiver des contacts qui s’étaient opposés — faute lourde et répétitive.

C’est typiquement le type de tâche que Legiscope industrialise : synchronisation des oppositions entre outils marketing, logs horodatés, preuve de prise en compte.

Art. 21(4) : l’obligation d’information proactive

« Au plus tard au moment de la première communication avec la personne concernée, le droit visé aux paragraphes 1 et 2 est explicitement porté à [son] attention et est présenté clairement et séparément de toute autre information. »

Cette obligation est souvent négligée. Elle impose trois choses :

• l’information doit être explicite : mentionner « vous pouvez exercer vos droits » ne suffit pas, il faut nommer le droit d’opposition ;
• elle doit être présentée séparément : enfouie dans un pavé de mentions légales ou dans une politique de confidentialité de huit pages, elle n’est pas « clairement présentée » au sens du texte ;
• elle doit intervenir dès la première communication, ce qui vise notamment le premier email commercial, le premier appel téléphonique, la première notification in-app.

La CNIL a sanctionné ce point dans plusieurs décisions. Dans la délibération SAN-2023-006 (Canal+), la difficulté pratique à exercer le droit d’opposition a été retenue comme manquement distinct. Une phrase standardisée en bas d’email (« Pour vous désinscrire, cliquez ici ») satisfait l’Art. 21(4) à condition que le lien fonctionne, qu’il ne nécessite pas d’identification supplémentaire, et qu’il produise un effet immédiat.

Art. 21(5) : l’opposition par procédé automatisé

Le paragraphe 5 est l’oublié de l’Art. 21. Il prévoit qu’en matière de services de la société de l’information, la personne « peut exercer son droit d’opposition à l’aide de procédés automatisés utilisant des spécifications techniques ».

La disposition fait écho aux signaux automatiques de type Do Not Track ou Global Privacy Control (GPC). Elle n’oblige pas les responsables de traitement à reconnaître tous les signaux existants — aucune spécification technique n’a été formellement adoptée au niveau européen — mais elle ouvre la voie à une reconnaissance progressive. La CNIL a indiqué, dans sa recommandation cookies de 2020 puis dans ses mises à jour, qu’un signal techniquement identifiable devait être pris en compte lorsque cela est possible.

En pratique, un site qui fait l’effort de lire le header GPC ou un cookie d’opposition est mieux armé en cas de contrôle. Les CMP modernes proposent cette fonctionnalité. Voir aussi mon analyse sur les CMP consent management et le taux de consentement cookies.

Art. 21(6) : recherche scientifique, historique ou statistique

Le paragraphe 6 organise un régime atténué pour les traitements relevant de l’Art. 89(1) — recherche, archives, statistiques. L’opposition reste possible « pour des raisons tenant à [la] situation particulière » de la personne, mais elle peut être écartée lorsque le traitement « est nécessaire à l’exécution d’une mission d’intérêt public ».

En pratique, cette disposition intéresse les instituts de recherche, l’INSEE, les établissements universitaires et certaines études cliniques. Elle doit être combinée avec les exigences de l’Art. 35 (AIPD) lorsque le traitement présente un risque élevé.

Comment traiter une demande d’opposition

Voici la séquence que je recommande à mes clients, en sept étapes :

1. Accuser réception dans les meilleurs délais, en rappelant le délai légal d’un mois (Art. 12(3)), prorogeable de deux mois en cas de complexité.
2. Identifier la base légale du traitement visé. S’il s’agit de consentement ou de contrat, requalifier la demande (retrait, résiliation).
3. Qualifier la demande : s’agit-il d’une opposition à la prospection (Art. 21(2)) ou d’une opposition « situation particulière » (Art. 21(1)) ?
4. Pour la prospection : supprimer immédiatement la personne des listes marketing, l’inscrire dans la liste d’exclusion, couper le profilage associé.
5. Pour l’Art. 21(1) : documenter la mise en balance. Soit accepter l’opposition (par défaut), soit démontrer les motifs impérieux justifiant le maintien.
6. Notifier la décision à la personne, par écrit, motivée. Rappeler le droit de saisir la CNIL en cas de désaccord.
7. Tracer l’ensemble dans le registre des droits. Conserver la demande et la réponse pendant au moins la durée de prescription de l’action contentieuse (cinq ans).

Ces étapes doivent être documentées dans une procédure écrite que le DPO peut produire en cas de contrôle. Sans procédure, l’Art. 5(2) (accountability) est lui aussi en défaut.

Articulation avec les autres droits de la personne

L’Art. 21 coexiste avec :

• le droit d’accès (Art. 15), souvent exercé en amont pour identifier les traitements auxquels s’opposer ;
• le droit à l’effacement (Art. 17), qui en est parfois la conséquence logique ;
• le droit à la portabilité (Art. 20), exercé en parallèle lors d’un changement de prestataire ;
• le droit à la limitation (Art. 18), utile quand la pondération des motifs impérieux prend du temps ;
• le retrait du consentement (Art. 7(3)), à ne pas confondre avec l’opposition stricto sensu.

Une demande adressée par un tiers (association, avocat) vaut exercice du droit dès lors qu’elle identifie la personne et exprime une volonté d’opposition — la CNIL l’a rappelé dans plusieurs mises en demeure.

Ce qu’il faut retenir

• L’Art. 21(1) n’ouvre un droit d’opposition que pour les traitements fondés sur l’intérêt légitime ou une mission d’intérêt public, et exige des motifs « tenant à la situation particulière » de la personne.
• L’Art. 21(2) institue un droit d’opposition absolu pour toute finalité de prospection, profilage compris — aucune mise en balance possible.
• Le responsable de traitement qui refuse une opposition au titre de l’Art. 21(1) doit démontrer des motifs « légitimes et impérieux » — la charge de la preuve pèse sur lui.
• L’information sur le droit d’opposition doit être donnée au plus tard lors de la première communication, clairement et séparément des autres mentions.
• Le non-respect de l’Art. 21 est sanctionné par le plafond haut de l’Art. 83(5)(b) : jusqu’à 20 M€ ou 4 % du chiffre d’affaires mondial.

FAQ

Le droit d’opposition est-il absolu ?

Non, sauf en matière de prospection. Pour les autres traitements fondés sur l’intérêt légitime ou l’intérêt public, l’Art. 21(1) permet au responsable de traitement de maintenir le traitement s’il démontre des motifs légitimes et impérieux. Cette démonstration doit être documentée au cas par cas — un refus standardisé ne tient pas en cas de contrôle.

Quel est le délai pour répondre à une demande d’opposition ?

Un mois à compter de la réception (Art. 12(3) RGPD), prorogeable de deux mois maximum en cas de complexité particulière, sous réserve d’en informer la personne dans le mois initial. Pour une opposition à la prospection, la suppression effective des listes marketing doit être immédiate — un délai d’un mois pour continuer à envoyer des emails serait difficilement justifiable.

Un désabonnement newsletter vaut-il opposition au sens de l’Art. 21 ?

Oui. La CNIL considère que tout désabonnement manifeste une volonté d’opposition à la prospection au sens de l’Art. 21(2). Le responsable de traitement doit non seulement cesser l’envoi de la newsletter mais aussi désactiver le profilage marketing associé et inscrire la personne dans sa liste d’exclusion centrale. Un simple retrait de la liste d’envoi ne suffit pas si les données continuent d’être enrichies à des fins commerciales.

L’Art. 21 s’applique-t-il à la prospection B2B ?

Oui, dès lors que les données visées sont nominatives (email personnel d’un salarié, numéro direct). Le régime ne distingue pas selon la qualité professionnelle de la personne. Seules les coordonnées génériques d’une entreprise (contact@, info@) échappent à l’application du RGPD parce qu’elles ne constituent pas des données personnelles. Toute campagne B2B doit donc intégrer la gestion des oppositions au même titre qu’une campagne B2C.

---

Vous recevez régulièrement des demandes d’opposition et souhaitez structurer votre processus ? Inscrivez-vous à ma newsletter : chaque semaine, j’analyse les décisions CNIL et les points d’actualité qui touchent directement les DPO et responsables de conformité.