Droit d’opposition RGPD : décider et répondre
Droit d’opposition RGPD : distinguer prospection, situation particulière et retrait du consentement, puis arrêter les usages concernés.
« Je m’oppose à l’utilisation de mes données » ne désigne pas toujours un seul traitement. La réponse doit identifier les usages concernés, appliquer la bonne règle et faire exécuter la décision. Le droit d’opposition ne se réduit ni à une suppression générale ni à un refus automatique selon une étiquette de base légale.
Les trois mécanismes de l’article 21
| Situation | Condition de la demande | Conséquence |
|---|---|---|
| Traitement fondé sur l’Art. 6(1)(e) ou (f), y compris le profilage associé | Raisons tenant à la situation particulière | Arrêt, sauf motifs légitimes et impérieux prépondérants démontrés ou constatation, exercice ou défense de droits en justice : Art. 21(1) |
| Prospection, y compris profilage lié | Aucune justification particulière à exiger | Les données ne sont plus utilisées à ces fins : Art. 21(2) et (3) |
| Recherche scientifique ou historique, statistiques relevant de l’Art. 89(1) | Raisons tenant à la situation particulière | Droit d’opposition, sauf nécessité pour une mission d’intérêt public : Art. 21(6), sous réserve des règles applicables |
Source : RGPD, texte de l’article 21.
La branche « prospection » doit être examinée en tant que telle. Pour un traitement fondé sur le consentement, la personne peut également le retirer selon l’Art. 7(3). Il ne faut donc pas rejeter une opposition à la prospection au motif qu’elle aurait initialement été consentie. Source : RGPD, Art. 7(3).
Qualifier la demande par usage
Identifiez la finalité visée et sa base légale. Une même organisation peut traiter une adresse pour livrer une commande, envoyer des offres et conserver une facture. La décision concernant un usage ne vaut pas nécessairement pour les autres.
Le choix des bases légales par finalité facilite cette analyse. Lorsqu’une obligation légale impose effectivement un traitement, l’Art. 21(1) ne fournit pas un droit général de s’y opposer. Cela ne signifie pas que la personne n’aurait aucun recours : elle peut contester l’applicabilité du texte, l’exactitude des données, leur caractère excessif ou l’usage qui en est fait, et exercer les droits pertinents.
Ne confondez pas non plus fin de contrat et suppression de toutes les données. Les traitements restant nécessaires pour d’autres finalités doivent être identifiés et fondés séparément.
Examiner les motifs sans réponse automatique
Pour l’Art. 21(1), recueillez les raisons liées à la situation particulière dans la mesure utile. Examinez ensuite les motifs concrets de poursuite et leur prépondérance. Répéter « notre intérêt légitime » ne démontre pas des motifs légitimes et impérieux supérieurs aux droits de la personne.
Exemple hypothétique : une personne conteste un signalement antifraude qui bloque ses opérations. Il faut examiner les éléments exacts du signalement, la situation décrite et les alternatives, sans assimiler le simple nom « antifraude » à une exception automatique. Le guide d’opposition à un traitement antifraude détaille ce travail.
L’Art. 18(1)(d) prévoit un droit à la limitation pendant la vérification de la prépondérance des motifs légitimes invoqués après une opposition relevant de l’Art. 21(1). Organisez cette limitation par un blocage technique effectif, lorsque ses conditions sont réunies.
Répondre et faire exécuter la décision
L’Art. 12(3) impose une réponse sans tarder et au plus tard dans le mois suivant la réception. Une prolongation de deux mois est possible si nécessaire au regard de la complexité et du nombre de demandes, avec information motivée dans le premier mois. Ce délai de réponse n’autorise pas à poursuivre la prospection pendant un mois après opposition.
En cas de refus, l’Art. 12(4) exige d’expliquer les motifs ainsi que les possibilités de réclamation auprès d’une autorité de contrôle et de recours juridictionnel. Le silence ne vaut pas acceptation tacite au titre du RGPD. Source : RGPD, Art. 12(3) et (4).
La gratuité est le principe ; les exceptions pour demandes manifestement infondées ou excessives de l’Art. 12(5) doivent être démontrées. Une demande répétée n’est pas automatiquement excessive.
Cas rempli : retirer une personne d’un annuaire public
Exemple hypothétique. Une association professionnelle diffuse sur son site un annuaire de ses membres avec leur nom et leurs coordonnées professionnelles. Elle a retenu l’intérêt légitime après analyse et informé les personnes. Ce fondement est une hypothèse du cas, pas une autorisation générale de publier les coordonnées de tous les adhérents.
Le 7 septembre, Nora demande le retrait de sa fiche : elle reçoit des sollicitations insistantes et craint que la publication facilite de nouveaux contacts. Elle précise qu’elle souhaite rester adhérente et continuer à recevoir les informations indispensables à ses activités, mais refuse les offres commerciales de partenaires relayées par l’association.
La responsable administrative distingue trois usages. Elle ne traite pas le message comme une demande de fermeture du compte. Elle n’exige pas non plus une plainte pénale pour commencer l’examen de l’opposition : les raisons exposées permettent déjà de comprendre la situation et le traitement contesté. Si des précisions deviennent nécessaires, elles doivent rester proportionnées au besoin de décision.
| Usage identifié | Règle appliquée | Décision pour Nora |
|---|---|---|
| Fiche nominative accessible publiquement | Art. 21(1), avec situation particulière exposée | Retrait : aucune raison impérieuse prépondérante de maintenir cette exposition n’est démontrée |
| Fichier interne nécessaire à la gestion de l’adhésion | Finalité distincte ; données nécessaires à la relation contractuelle dans ce scénario | Maintien des seuls éléments utiles, sans publication externe |
| Offres commerciales des partenaires | Art. 21(2) et (3), sans justification particulière | Arrêt de ces offres et du profilage lié à leur sélection |
| Trace de l’opposition | Besoin distinct d’éviter une nouvelle publication ou sollicitation interdite | Indicateur limité, accès réservé, conservation justifiée et réexaminée |
L’association estime utile de présenter ses membres, mais cette utilité générale ne démontre pas qu’il serait indispensable de publier Nora malgré sa situation. Elle peut maintenir un annuaire des autres personnes dans les conditions licites qui leur sont applicables. La décision ne nécessite pas de supprimer toute l’activité de l’association.
Pendant l’examen, la responsable organise la limitation applicable à la fiche contestée et suspend son exposition publique. Elle transmet ensuite l’instruction définitive à l’administrateur du site et au prestataire chargé des éditions de l’annuaire. L’équipe commerciale reçoit uniquement l’indication nécessaire à l’exclusion des offres, sans le récit détaillé des difficultés personnelles de Nora.
L’obstacle : une ancienne édition reste téléchargeable
L’administrateur retire la fiche du site, mais le contrôle révèle que le PDF de l’annuaire annuel reste accessible. La responsable ne clôt pas la demande après avoir vérifié seulement la page HTML. Elle fait retirer ou remplacer le PDF exposant les données de Nora et vérifie les liens de téléchargement connus. Elle recherche aussi les éditions encore utilisées par le prestataire.
Une copie déjà téléchargée par un tiers ne peut pas être déclarée disparue par simple modification du site. L’association distingue les espaces qu’elle maîtrise, les destinataires identifiés et les copies dont elle ne peut pas constater l’effacement. Lorsqu’elle procède à un effacement relevant de l’Art. 17(1), les obligations envers les destinataires prévues à l’Art. 19 doivent également être examinées, avec leurs exceptions d’impossibilité ou d’efforts disproportionnés. RGPD, Art. 17 et 19.
Le contrôle final porte sur la recherche du nom dans les supports gérés, l’absence de fiche publique et l’exclusion effective de la prochaine sélection commerciale. Un ancien fichier d’édition ne doit pas pouvoir réintroduire la personne au prochain renouvellement. La responsable conserve le résultat sans recopier inutilement les données supprimées dans le dossier de preuve.
Une réponse réellement renseignée
Voici une réponse possible si les actions indiquées ont effectivement été achevées le 11 septembre, dans cet exemple :
Nous avons traité votre demande du 7 septembre concernant l’annuaire public et les offres commerciales. Votre fiche a été retirée du site et de l’édition PDF que nous diffusons. Nous avons arrêté votre sélection pour les offres de partenaires et le profilage associé à ces envois.
Votre adhésion reste active, conformément à votre demande. Nous conservons les coordonnées nécessaires à sa gestion pour cette finalité distincte, ainsi qu’une indication limitée de votre opposition afin d’éviter une nouvelle publication ou sollicitation commerciale. Nous ne pouvons pas affirmer que toutes les copies précédemment téléchargées par des tiers ont disparu. Vous pouvez nous signaler un support encore accessible afin que nous examinions les démarches utiles.
Si le PDF reste en ligne, la réponse doit au contraire décrire l’action non achevée et les mesures prises pour la résoudre. Une confirmation d’effacement anticipée aggrave le défaut de suivi ; elle ne remplace pas l’exécution. Si l’organisme refuse un volet de la demande, il ajoute la motivation propre à ce refus et les voies de contestation prévues à l’Art. 12(4).
Lorsque des prestataires interviennent, transmettez les instructions utiles et vérifiez leur exécution ; l’Art. 28(3)(e) prévoit leur assistance pour les droits. Une trace minimale destinée à empêcher une réintroduction doit être justifiée et réservée à cet objectif. Ne supprimez pas un indicateur utile d’opposition si cette suppression conduit à reprendre l’usage interdit. Source : RGPD, Art. 28(3)(e).
Informer du droit d’opposition
L’Art. 21(4) exige de porter explicitement les droits des paragraphes 1 et 2 à l’attention de la personne, au plus tard lors de la première communication, clairement et séparément des autres informations. Vérifiez les mentions d’information effectivement affichées, ainsi que le fonctionnement du canal proposé.
Ce qu’il faut retenir
- La prospection bénéficie d’un régime distinct, sans justification particulière à exiger.
- Pour l’Art. 21(1), examinez la situation et démontrez les éventuels motifs prépondérants.
- Une réponse juridique doit entraîner l’arrêt effectif des usages concernés.
- Un refus doit être motivé ; le silence n’a pas valeur d’acceptation tacite.
FAQ
L’opposition impose-t-elle d’effacer toutes les données ?
Non. Elle vise des traitements déterminés. Examinez séparément l’effacement et les éventuelles finalités licites qui nécessitent encore certaines données.
Peut-on refuser parce que la personne avait consenti ?
Il faut examiner le retrait du consentement et, pour la prospection, les Art. 21(2) et (3). Le consentement initial n’autorise pas à ignorer la volonté de faire cesser cet usage.
Une obligation fiscale permet-elle de continuer la prospection ?
Non. Une conservation imposée pour une finalité fiscale ne justifie pas l’utilisation des mêmes informations à des fins de prospection après opposition.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.