Droit d'opposition RGPD : article 21, exceptions et modèle

Le droit d’opposition imposé par le RGPD est souvent mal compris. Déterminé par l’article 21, il confère aux personnes dont les données sont traitées la possibilité de s’opposer à leur traitement, mais dans certaines situations spécifiques uniquement. En cela, le droit d’opposition se cumule avec d’autres droits existants qui permettent à une personne de faire arrêter le traitement de ses données (I), comme le droit de retirer son consentement. Une personne peut ainsi “s’opposer” au traitement, sans faire valoir le droit conféré par l’article 21, ce que l’on verra en détail. Pour comprendre le droit d’opposition, il faut également comprendre ses limites, car il existe un certain nombre de cas dans lesquels le droit d’opposition n’est pas valable. Dans ces cas, la personne concernée ne pourra rien faire pour arrêter le traitement de ses données personnelles (II). Ces considérations imposent en réalité d’observer autre disposition centrale du RGPD : l’article 6 et les mécanismes qui permettent à une personne de faire cesser le traitement de ses données (III). Une fois ces éléments analysés, on verra comment suivre et gérer une demande d’opposition en pratique (IV)

I - Attention à ne pas confondre droit d’opposition et opposition au traitement !

Il y a une subtilité importante dans le droit d’opposition, en cela qu’une personne qui ne souhaite plus que ses données fassent l’objet d’un traitement dispose de plusieurs possibilités pour y mettre un terme. Par exemple :

• la personne peut simplement retirer son consentement au traitement de ses données (art. 7)
• la personne peut mettre un terme à un contrat dans lequel un traitement de données personnelles est effectué (art. 6)

Ainsi, le premier réflexe à avoir face à une demande d’opposition, est donc de tenter d’y donner sens : s’agit-il par exemple d’un retrait de consentement ? Mais il ne faut pas s’arrêter là, et comprendre que le droit d’opposition n’est pas systématique. C’est la seconde erreur pratique à éviter !

II - Le droit d’opposition n’est pas systématique (certains traitements sont obligatoires)

La seconde erreur fréquemment commise est de penser que le droit d’opposition est systématique. Rien n’est plus faux ! Le droit d’opposition ne s’applique pas, par exemple, dans les cas où la loi impose à un responsable de traitement de collecter des données personnelles. Voici quelques exemples :

• les traitements imposés en matière de droit du travail en matière de gestion de retraite (collecte obligatoire)
• les déclarations obligatoires en matière fiscale (s’il suffisait simplement de s’y opposer, le fisc aurait de très nombreux problèmes!)
• la collecte de données obligatoire en matière de facturation
• etc.

Dans tous ces cas, le droit d’opposition ne pourra pas valablement être exercé (ce qui n’empêchera pas les responsables de traitement de recevoir des demandes d’opposition). En tant que responsable de traitement, en réalité, la première chose à faire est de clairement déterminer la base légale sur laquelle repose le traitement, afin de déterminer si un droit d’opposition peut valablement être exprimé.

III - Le droit d’opposition est en réalité lié à la base légale

Pour vraiment comprendre le droit d’opposition, il faut reprendre en réalité la base légale - c’est-à-dire l’article 6 du RGPD. En effet, le RGPD distingue 6 cas dans lesquels un responsable de traitement peut opérer un traitement de données personnelles. La question centrale ici est de déterminer quand va cesser le traitement des données personnelles :

• Cas 1 : la personne a donné son consentement ; le traitement s’arrêtera le jour ou la personne décidera de retirer son consentement (art. 6.1.a)
• Cas 2 : la personne concernée a conclu un contrat ; le traitement des données s’arrêtera naturellement le jour ou le contrat sera terminé (+ éventuellement la prescription commerciale) - art. 6.1.b
• Cas 3 : le traitement est imposé par la loi ; dans ce cas la loi décide du délai pendant lequel les données seront traitées - la personne n’a pas son mot à dire (art. 6.1.c)
• Cas 4 : le traitement est nécessaire aux intérêts vitaux de la personne ; globalement le traitement est réalisé afin que la personne reste en vie - elle n’a pas vraiment son mot à dire - car elle n’est pas en mesure d’exprimer grand-chose en raison de son état de santé - ce type de traitement est généralement utilisé pour les greffes vitales urgentes. Le traitement cesse lorsqu’il ne sera plus nécessaire, ou lorsque la personne concernée sera à nouveau en mesure d’exprimer son avis (art. 6.1.d)
• Cas 5 : le traitement est nécessaire pour une mission d’intérêt public (art. 6.1.e)
• Cas 6 : le traitement est nécessaire aux fins des intérêts légitimes du responsable de traitement (art. 6.1.f)

Dans les deux derniers cas, si la loi n’avait pas prévu un droit d’opposition, la personne n’aurait aucun moyen de faire cesser le traitement de ses données. C’est exactement là que vient s’insérer le droit d’opposition, sur ces deux catégories spécifiques de traitement.

Il est maintenant possible de lire l’article 21 avec une véritable compréhension du mécanisme prévu par le RGPD - en particulier le point 1 :

Article 21 - Droit d’opposition

1. La personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l’article 6, paragraphe 1, point e) ou f), y compris un profilage fondé sur ces dispositions. Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu’il ne démontre qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l’exercice ou la défense de droits en justice.
2. Lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s’opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection.
3. Lorsque la personne concernée s’oppose au traitement à des fins de prospection, les données à caractère personnel ne sont plus traitées à ces fins.
4. Au plus tard au moment de la première communication avec la personne concernée, le droit visé aux paragraphes 1 et 2 est explicitement porté à l’attention de la personne concernée et est présenté clairement et séparément de toute autre information.
5. Dans le cadre de l’utilisation de services de la société de l’information, et nonobstant la directive 2002/58/CE, la personne concernée peut exercer son droit d’opposition à l’aide de procédés automatisés utilisant des spécifications techniques.
6. Lorsque des données à caractère personnel sont traitées à des fins de recherche scientifique ou historique ou à des fins statistiques en application de l’article 89, paragraphe 1, la personne concernée a le droit de s’opposer, pour des raisons tenant à sa situation particulière, au traitement de données à caractère personnel la concernant, à moins que le traitement ne soit nécessaire à l’exécution d’une mission d’intérêt public.

IV - Comment gérer les demandes d’opposition

Il est important pour un responsable de traitement de gérer toutes les demandes d’opposition qui sont faites en vertu de l’article 21 du RGPD. En effet, le responsable du traitement disposera d’un mois pour répondre à toute demande étant effectuée.

Il est donc essentiel de suivre chaque demande d’exercice des droits afin de s’assurer qu’une réponse y a été apportée car ces demandes de droit sont très souvent le préalable à un contentieux. Il existe de nombreux outils logiciels pour ce faire, il est important d’en avoir un en place (ex : Legiscope).

V - Modèle de réponse à une demande d’opposition

La réponse doit intervenir sous un mois à compter de la réception, prolongeable de deux mois pour les demandes complexes (Art. 12(3) RGPD). Voici un modèle type, à adapter selon la situation :

Cas n°1 — Opposition acceptée (prospection ou intérêt légitime sans motifs impérieux)

Madame, Monsieur,

Nous accusons réception de votre demande d’opposition au traitement de vos données personnelles datée du [date], conformément à l’article 21 du RGPD.

Nous vous confirmons que vos données ne seront plus traitées aux fins suivantes : [lister les finalités concernées, par exemple : prospection commerciale par email et SMS, profilage publicitaire]. Cette opposition prend effet à compter de ce jour.

Veuillez noter que certaines données pourront être conservées dans les conditions suivantes : [préciser, par exemple : conservation des données comptables imposée par la loi pendant 10 ans, conservation dans une liste de suppression pour éviter de vous recontacter].

Vous disposez par ailleurs des autres droits prévus par le RGPD : accès, rectification, effacement, portabilité, limitation. Pour toute question, vous pouvez contacter notre DPO à [email].

Cas n°2 — Opposition refusée (motifs légitimes et impérieux)

Madame, Monsieur,

Nous accusons réception de votre demande d’opposition au traitement de vos données personnelles datée du [date], formulée au titre de l’article 21 du RGPD.

Après examen, nous ne sommes pas en mesure de donner suite favorablement à votre demande pour les motifs suivants : [détailler les motifs légitimes et impérieux, par exemple : nécessité de conservation pour la défense de droits en justice dans le cadre d’un contentieux en cours, obligation légale de conservation à des fins fiscales].

Conformément à l’article 21(1) du RGPD, ces motifs prévalent sur vos intérêts, droits et libertés dans le cadre spécifique de ce traitement.

Vous disposez de la possibilité de saisir la CNIL d’une réclamation si vous contestez cette décision, à l’adresse suivante : https://www.cnil.fr/fr/plaintes.

Cas n°3 — Opposition irrecevable (traitement non fondé sur Art. 6(1)(e) ou (f))

Lorsque le traitement repose sur le consentement, l’exécution d’un contrat ou une obligation légale, le droit d’opposition de l’article 21 ne s’applique pas. Il convient alors de requalifier la demande : retrait de consentement (Art. 7(3)), demande d’effacement (Art. 17) ou demande de limitation (Art. 18), selon le cas. La réponse doit expliquer pourquoi l’article 21 n’est pas applicable, et proposer le droit pertinent.

VI - Le profilage et la prospection : les usages dominants du droit d’opposition

Dans la pratique des demandes reçues par les DPO, deux situations concentrent l’essentiel des demandes d’opposition fondées sur l’article 21.

La prospection commerciale (Art. 21(2)). C’est le cas le plus fréquent. Le RGPD prévoit ici un droit d’opposition absolu : aucun motif légitime et impérieux ne peut être invoqué par le responsable de traitement pour maintenir le traitement à des fins de prospection. Dès qu’une personne s’oppose, la prospection doit cesser, qu’elle soit par email, SMS, courrier ou message direct sur réseaux sociaux. C’est l’une des rares situations où l’opposition est inconditionnelle.

Le profilage publicitaire et le ciblage comportemental. Le considérant 70 du RGPD prévoit explicitement que le droit d’opposition s’applique au profilage lié à la prospection. Cela couvre désormais l’essentiel des dispositifs publicitaires en ligne : retargeting, audiences personnalisées, lookalike targeting. La CNIL et l’EDPB rappellent régulièrement que l’utilisateur doit pouvoir s’opposer à ces traitements aussi simplement qu’il y a consenti, conformément au principe de symétrie entre opt-in et retrait.

La jurisprudence de la CJUE confirme cette lecture stricte. Dans l’arrêt Meta Platforms du 4 juillet 2023 (C-252/21), la Cour a rappelé que la publicité ciblée ne peut généralement pas reposer sur l’intérêt légitime, et que le droit d’opposition doit être effectif. Cette décision a des conséquences directes sur la quasi-totalité des architectures publicitaires utilisées par les grands acteurs du numérique.

Pour les responsables de traitement qui utilisent du profilage à des fins de prospection, deux obligations pratiques en découlent :

1. Mentionner le droit d’opposition de manière explicite et séparée au moment de la première communication (Art. 21(4)), avec un mécanisme de retrait aussi simple que l’opt-in initial.
2. Documenter le traitement post-opposition : que se passe-t-il dans le CRM, dans le système publicitaire, dans le data warehouse ? Une opposition non répercutée techniquement dans la chaîne des sous-traitants reste un manquement, même si la décision juridique a été prise.

VII - FAQ : droit d’opposition RGPD

En combien de temps dois-je répondre à une demande d’opposition ?

Sous un mois à compter de la réception (Art. 12(3) RGPD), prolongeable de deux mois en cas de complexité. Le silence vaut acceptation tacite et expose à un risque de plainte CNIL.

Puis-je facturer le traitement d’une demande d’opposition ?

Non, la règle est la gratuité (Art. 12(5)). Une rémunération n’est admise qu’en cas de demande “manifestement infondée ou excessive”, et la charge de la preuve pèse sur le responsable de traitement.

Une personne peut-elle s’opposer à un traitement fondé sur le consentement ?

Le mécanisme correct dans ce cas n’est pas l’opposition (Art. 21) mais le retrait du consentement (Art. 7(3)). Il convient de requalifier la demande et de traiter la révocation du consentement, qui doit être aussi simple que l’a été l’opt-in initial.

L’opposition vaut-elle pour tous mes sous-traitants ?

Oui. Le responsable de traitement doit répercuter l’opposition auprès de l’ensemble de ses sous-traitants traitant les données concernées (Art. 28(3)(e)). Sans cette répercussion technique, la conformité reste partielle et expose à sanction.

La CNIL contrôle-t-elle vraiment ces demandes ?

Oui, c’est l’un des points de contrôle systématiques. Les sanctions prononcées en 2023-2025 pour défaut de traitement des demandes d’opposition (et plus généralement de demandes d’exercice des droits) sont nombreuses, y compris en procédure simplifiée pour des PME. Disposer d’un outil de suivi des demandes d’exercice des droits est aujourd’hui une mesure de conformité standard.