Exactitude des données RGPD : guide + checklist 2026

L’essentiel. Le RGPD impose que les données traitées soient exactes, complètes et tenues à jour (art. 5(1)(d)). C’est une obligation continue et proactive : le responsable de traitement ne corrige pas seulement sur demande, il doit organiser la qualité de ses données. Le manquement expose à des sanctions administratives (CNIL, jusqu’à 20 M€ ou 4 % du chiffre d’affaires mondial) et à une contravention pénale résiduelle (art. R. 625-12 du Code pénal).

Une adresse périmée qui envoie une facture au mauvais destinataire, un score de solvabilité fondé sur des données erronées, un dossier RH incomplet qui prive un salarié d’un droit : l’inexactitude des données n’est pas un détail administratif, c’est un manquement sanctionnable. Le principe d’exactitude est l’un des six principes fondateurs du RGPD, et l’un des plus concrets à mettre en œuvre. Ce guide explique ce que la loi exige réellement en 2026, comment l’organiser en pratique, et comment l’articuler avec le droit de rectification, avec une checklist opérationnelle et une FAQ.

Le principe d’exactitude dans le RGPD

Le principe d’exactitude — quatrième principe relatif au traitement — est posé par l’article 5(1)(d) du règlement :

« [Les données] sont exactes et, si nécessaire, tenues à jour ; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder. »

Cette formulation reprend, en l’enrichissant, un principe posé dès 1978 par la loi Informatique et Libertés. Trois exigences s’imposent au responsable de traitement :

• les données doivent être exactes au moment de la collecte ;
• elles doivent rester tenues à jour pendant toute la durée du traitement, lorsque la finalité l’exige ;
• toute donnée inexacte doit être rectifiée ou effacée sans tarder.

Ce dernier point fait de l’exactitude un principe proactif : le responsable n’attend pas une demande de la personne pour corriger une erreur. Il doit organiser des contrôles, des vérifications et des mises à jour.

Ce que recouvre concrètement l’exactitude

L’exactitude ne se réduit pas à « ne pas se tromper de nom ». Elle articule trois qualités distinctes, à apprécier au regard de la finalité du traitement.

Qualité	Signification	Exemple de manquement
Exactitude	Les données correspondent à la réalité	Un solde de facturation erroné maintenu malgré la contestation
Complétude	Les données ne sont pas tronquées au point d’induire en erreur	Un dossier de crédit sans les revenus réels du demandeur
Actualité	Les données reflètent la situation présente quand la finalité l’exige	Une adresse de contact obsolète pour une notification légale

Le critère central est la finalité. Une donnée « périmée » n’est pas nécessairement un manquement : l’historique d’une commande de 2019 reste exact en tant que fait passé. En revanche, si la finalité suppose une information à jour (livraison, facturation, recouvrement, décision affectant la personne), la donnée obsolète devient inexacte au sens de l’article 5(1)(d). L’exactitude se combine donc étroitement avec le principe de temporalité et le principe de minimisation.

Une obligation continue, pas un événement ponctuel

L’erreur la plus répandue consiste à croire que l’exactitude se vérifie uniquement à la collecte. Le RGPD impose au contraire une vigilance continue. Le responsable doit être en mesure de démontrer qu’il dispose d’un dispositif de détection et de correction des inexactitudes — pas seulement d’une capacité à répondre aux réclamations individuelles.

Cette exigence découle directement du principe de responsabilité (accountability, art. 5(2) et 24) : il ne suffit pas d’être conforme, il faut pouvoir le prouver. En pratique, cela suppose des procédures écrites, des points de contrôle datés et une traçabilité des corrections.

Les leviers opérationnels de la qualité des données

L’informatique offre aujourd’hui des solutions qui permettent, dans un grand nombre de cas, d’assurer simplement la conformité au principe d’exactitude. Plusieurs leviers concrets, du plus efficace au plus lourd :

• Auto-mise à jour par l’utilisateur : laisser les personnes modifier elles-mêmes leurs données (espaces clients, profils). C’est la solution la plus efficace et la moins coûteuse : l’utilisateur agit à la source.
• Vérification à la collecte : pour les données critiques (adresse de livraison, IBAN, coordonnées de contact), des contrôles automatisés (validation d’adresse postale, contrôle de clé IBAN, double opt-in e-mail) limitent les erreurs initiales.
• Synchronisation entre systèmes : une donnée corrigée dans un outil doit se propager aux autres. La désynchronisation entre CRM, facturation et support est l’un des points de contrôle systématiques en cas d’audit.
• Détection des doublons : la fusion de fiches en double évite les corrections partielles qui laissent subsister une version erronée.
• Purges et archivages périodiques : les données qui ne peuvent plus être tenues à jour (anciens clients perdus de vue, prospects inactifs) doivent être archivées ou effacées plutôt que de rester actives. Un tableau des durées de conservation structure cette gouvernance.
• Alertes de péremption : signaler automatiquement les données dont la fraîcheur est requise et dont la date limite approche.

Levier	Effort	Effet sur la qualité
Auto-mise à jour utilisateur	Faible	Élevé
Vérification à la collecte	Moyen	Élevé
Synchronisation inter-systèmes	Élevé	Élevé
Détection de doublons	Moyen	Moyen
Purges périodiques	Moyen	Moyen

Le risque pénal historique : article R. 625-12 du Code pénal

Sur le plan pénal, l’inexécution de l’obligation de correction est sanctionnée par l’article R. 625-12 du Code pénal :

« Est puni de l’amende prévue pour les contraventions de la cinquième classe le fait, pour le responsable d’un traitement automatisé de données à caractère personnel, de ne pas procéder, sans frais pour le demandeur, aux opérations demandées par une personne physique justifiant de son identité et qui exige que soient rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant […] lorsque ces données sont inexactes, incomplètes, équivoques, périmées, ou lorsque leur collecte, leur utilisation, leur communication ou leur conservation est interdite. »

Le montant de cette contravention de cinquième classe est de 1 500 euros (porté à 3 000 € en cas de récidive), et il est quintuplé pour les personnes morales. Ce dispositif pénal subsiste, mais il a été en pratique supplanté par les sanctions administratives du RGPD, bien plus dissuasives.

Les sanctions CNIL : l’exactitude comme obligation effective

Sous le RGPD, le défaut d’exactitude relève du plafond haut de l’article 83(5) : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Le principe d’exactitude figure parmi les principes de l’article 5 dont la violation est la plus sévèrement sanctionnée.

Dans une délibération de novembre 2022, la CNIL a sanctionné Free Mobile à hauteur de 300 000 €, notamment pour la persistance de données de facturation erronées dans ses systèmes malgré les contestations des clients — un manquement qualifié au titre de l’article 5(1)(d). Cette décision consacre deux principes désormais constants :

1. L’exactitude est une obligation continue. L’organisation doit disposer d’un processus effectif de détection et de correction des inexactitudes, et pas seulement d’une capacité de réaction ponctuelle.
2. L’absence de plainte n’est pas une excuse. Le défaut d’exactitude est sanctionnable même sans réclamation des personnes concernées : la CNIL contrôle l’effectivité du dispositif de qualité des données.

Pour un panorama plus large des risques financiers, voir notre guide sur les sanctions RGPD.

Articulation avec le droit de rectification (article 16)

Le principe d’exactitude (art. 5(1)(d)) et le droit de rectification (art. 16) sont les deux faces d’une même obligation : l’un est un principe (obligation proactive de l’organisation), l’autre un droit individuel (déclenché par la demande de la personne). Le second ne dispense pas du premier.

En pratique, le responsable doit organiser quatre mécanismes complémentaires :

• un processus de réponse aux demandes de rectification (art. 16), avec un délai maximum d’un mois (art. 12(3)), prorogeable de deux mois en cas de complexité ;
• un mécanisme de limitation pendant vérification (art. 18(1)(a)) : la donnée contestée doit être gelée le temps d’instruire la demande ;
• un dispositif de notification aux destinataires des données rectifiées (art. 19), sauf impossibilité ou efforts disproportionnés ;
• une procédure interne proactive de qualité (campagnes de mise à jour, doubles contrôles, alertes de péremption).

La rectification s’articule aussi avec le droit d’accès, qui permet à la personne de vérifier l’exactitude de ses données, et avec le droit d’opposition, qui peut conduire à cesser un traitement fondé sur des données contestées.

Situation	Fondement	Action attendue
L’organisation détecte une erreur	Art. 5(1)(d)	Rectifier ou effacer sans tarder
La personne demande une correction	Art. 16	Répondre sous 1 mois
L’exactitude est contestée	Art. 18(1)(a)	Geler la donnée le temps de vérifier
Données rectifiées déjà transmises	Art. 19	Notifier les destinataires

Exactitude et autres principes du RGPD

Le principe d’exactitude ne s’applique jamais seul. Il se combine avec les autres piliers de la licéité :

• le principe de finalité : l’exactitude s’apprécie au regard de la finalité — une donnée peut être « suffisamment exacte » pour une finalité et non pour une autre ;
• le principe de proportionnalité : les « mesures raisonnables » de mise à jour doivent rester proportionnées à l’enjeu ;
• le principe de temporalité : une donnée conservée au-delà de son utilité devient plus difficile à tenir à jour, ce qui accroît le risque d’inexactitude ;
• le principe de minimisation : moins de données collectées, c’est moins de données à tenir exactes.

L’attention est plus forte encore pour les données sensibles : une donnée de santé ou une donnée relative à une condamnation inexacte peut avoir des conséquences graves, ce qui élève le niveau des « mesures raisonnables » attendues.

Cas sectoriels

• Facturation et recouvrement : c’est le terrain d’élection du contentieux (cf. sanction Free Mobile). Une contestation client sur un montant impose de suspendre le traitement litigieux et de vérifier, pas de maintenir la donnée en l’état.
• Ressources humaines : un dossier salarié incomplet ou périmé (coordonnées, situation familiale ouvrant des droits) peut priver l’intéressé d’un bénéfice ; l’exactitude conditionne l’exercice de droits.
• Marketing et prospection : une base de contacts non tenue à jour multiplie les envois à des personnes désabonnées ou décédées, cumulant risque d’exactitude et risque de licéité.
• Scoring et décisions automatisées : une décision fondée sur des données inexactes est doublement fragile — sur le fondement de l’article 5(1)(d) et sur celui de l’encadrement des décisions automatisées.

Les limites du principe : « mesures raisonnables », pas vérité absolue

L’article 5(1)(d) n’érige pas le responsable de traitement en garant de la vérité absolue de chaque donnée. Le texte impose des « mesures raisonnables », appréciées au regard de la finalité, de l’état de la technique et du risque pour les personnes. Trois nuances importantes en découlent.

D’abord, pour les données déclaratives fournies par la personne elle-même (situation familiale, préférences, coordonnées), le responsable n’a pas à vérifier systématiquement l’exactitude de chaque déclaration : il doit permettre la correction et agir dès qu’une inexactitude lui est signalée ou devient manifeste. Le niveau de vérification attendu s’élève toutefois avec l’enjeu : une donnée servant de base à une décision affectant la personne (crédit, embauche, prestation sociale) appelle des contrôles plus poussés qu’une simple préférence de contact.

Ensuite, l’exactitude s’apprécie par rapport à la finalité, jamais dans l’absolu. Une même donnée peut être « suffisamment exacte » pour une finalité de statistiques agrégées et insuffisante pour une finalité de facturation individuelle. C’est la raison pour laquelle l’analyse de l’exactitude doit toujours partir du registre des traitements et de la finalité déclarée.

Enfin, le principe ne fait pas obstacle à la conservation d’une donnée historiquement exacte mais aujourd’hui dépassée, dès lors qu’elle est clairement identifiée comme telle (par exemple une ancienne adresse conservée dans un historique daté). Ce qui est prohibé, c’est de traiter comme actuelle une donnée périmée là où la finalité exige une information à jour.

Ces limites ne réduisent pas la portée de l’obligation : elles en précisent le curseur. Plus le traitement est susceptible d’affecter les droits et libertés des personnes, plus les « mesures raisonnables » attendues sont exigeantes.

Checklist qualité des données

• [ ] Chaque traitement identifie les données dont la fraîcheur est exigée par la finalité
• [ ] Les personnes peuvent mettre à jour elles-mêmes leurs données lorsque c’est possible
• [ ] Des contrôles de saisie existent pour les données critiques (adresse, IBAN, e-mail)
• [ ] Les corrections se propagent entre systèmes (CRM, facturation, support)
• [ ] Un processus de rectification (art. 16) répond sous un mois
• [ ] La donnée contestée est gelée pendant vérification (art. 18)
• [ ] Les destinataires sont notifiés des rectifications (art. 19)
• [ ] Les données qui ne peuvent être tenues à jour sont archivées ou effacées
• [ ] Les corrections et vérifications sont tracées (accountability)
• [ ] Les traitements et leurs contrôles figurent au registre

Pour structurer ce dispositif et industrialiser la qualité de la donnée à l’échelle, un logiciel RGPD permet de tracer les corrections, de propager les rectifications aux sous-traitants et de documenter le respect du principe. Un audit RGPD périodique permet de vérifier l’effectivité réelle du dispositif.

FAQ

Le principe d’exactitude oblige-t-il à mettre toutes les données à jour en permanence ?

Non. L’obligation de mise à jour ne joue que « si nécessaire », c’est-à-dire lorsque la finalité l’exige. Une donnée historique (une commande passée) reste exacte en tant que fait passé. En revanche, une adresse de contact ou un montant de facturation doivent être à jour, car la finalité suppose une information courante.

Quelle différence entre le principe d’exactitude et le droit de rectification ?

Le principe d’exactitude (art. 5(1)(d)) est une obligation proactive de l’organisation : elle doit corriger de sa propre initiative. Le droit de rectification (art. 16) est un droit individuel exercé par la personne. Les deux coexistent : répondre aux demandes ne suffit pas, il faut aussi organiser la qualité des données en amont.

Quel délai pour répondre à une demande de rectification ?

Un mois à compter de la réception (art. 12(3)), prorogeable de deux mois supplémentaires en cas de demande complexe, à condition d’en informer la personne dans le délai initial. Pendant la vérification, la donnée contestée doit pouvoir être gelée au titre de la limitation du traitement (art. 18).

Une donnée inexacte peut-elle être sanctionnée même sans plainte ?

Oui. La CNIL contrôle l’effectivité du dispositif de qualité des données, indépendamment de toute réclamation individuelle. L’absence de plainte n’exonère pas le responsable : c’est l’un des enseignements de la sanction prononcée contre Free Mobile en 2022.

Doit-on prévenir nos sous-traitants et partenaires d’une rectification ?

Oui, dans la mesure du possible. L’article 19 impose de notifier la rectification (ou l’effacement) à chaque destinataire auquel les données ont été communiquées, sauf si cela s’avère impossible ou exige des efforts disproportionnés. La personne peut demander à connaître ces destinataires.

L’exactitude concerne-t-elle aussi les données produites par un algorithme ?

Oui. Un score, un profil ou une prédiction rattachés à une personne identifiable sont des données personnelles soumises au principe d’exactitude. Une décision fondée sur des données d’entrée erronées, ou un résultat manifestement inexact, engage la responsabilité au titre de l’article 5(1)(d), en plus des règles propres aux traitements automatisés.