RGPD et protection des données personnelles : vos droits en 2026

Le RGPD : un bouclier pour vos données personnelles

Le Règlement général sur la protection des données (RGPD), entré en application le 25 mai 2018, est le texte européen de référence en matière de protection des données personnelles. Codifié sous le Règlement (UE) 2016/679, il s'applique à toute organisation (entreprise, association, administration) qui traite des données personnelles de résidents européens. En France, il est complété par la loi Informatique et Libertés du 6 janvier 1978 modifiée et supervisé par la CNIL (Commission nationale de l'informatique et des libertés). Ce guide vous présente vos droits en 2026.

Qu'est-ce qu'une donnée personnelle ?

L'article 4 du RGPD définit la donnée personnelle comme « toute information se rapportant à une personne physique identifiée ou identifiable ». Cela inclut :

• Les données d'identification directe : nom, prénom, photo, numéro de sécurité sociale.
• Les données d'identification indirecte : adresse IP, identifiant en ligne, données de géolocalisation, cookies.
• Les données sensibles (article 9 du RGPD) : origine raciale ou ethnique, opinions politiques, convictions religieuses, données de santé, données biométriques, orientation sexuelle. Leur traitement est en principe interdit, sauf exceptions limitativement énumérées.

Les principes fondamentaux du RGPD

L'article 5 du RGPD pose six principes que tout responsable de traitement doit respecter :

• Licéité, loyauté et transparence : le traitement doit reposer sur une base juridique valide (consentement, exécution d'un contrat, obligation légale, intérêt légitime, etc.) et être expliqué clairement à la personne concernée.
• Limitation des finalités : les données ne peuvent être collectées que pour des finalités déterminées, explicites et légitimes.
• Minimisation : seules les données strictement nécessaires à la finalité poursuivie doivent être collectées.
• Exactitude : les données doivent être tenues à jour et les données inexactes rectifiées ou effacées.
• Limitation de la conservation : les données ne peuvent être conservées que pendant la durée nécessaire à la finalité du traitement.
• Intégrité et confidentialité : des mesures techniques et organisationnelles appropriées doivent garantir la sécurité des données.

Vos droits en tant que personne concernée

Le droit d'accès (article 15 du RGPD)

Vous avez le droit d'obtenir du responsable de traitement la confirmation que vos données sont ou ne sont pas traitées, et le cas échéant, d'accéder à ces données ainsi qu'aux informations relatives au traitement (finalités, catégories de données, destinataires, durée de conservation). Le responsable de traitement doit répondre dans un délai d'un mois (prolongeable de deux mois en cas de complexité).

Le droit de rectification (article 16)

Vous pouvez demander la correction de données inexactes ou la complétion de données incomplètes vous concernant.

Le droit à l'effacement — « droit à l'oubli » (article 17)

Vous pouvez obtenir l'effacement de vos données dans certains cas :

• Les données ne sont plus nécessaires au regard de la finalité initiale.
• Vous retirez votre consentement (lorsque le traitement est fondé sur le consentement).
• Vous exercez votre droit d'opposition et il n'existe pas de motif légitime impérieux.
• Le traitement est illicite.

Ce droit n'est pas absolu : il ne s'applique pas lorsque le traitement est nécessaire à l'exercice de la liberté d'expression, au respect d'une obligation légale ou à la constatation de droits en justice.

Le droit à la portabilité (article 20)

Vous pouvez recevoir vos données dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre responsable de traitement. Ce droit facilite le changement de prestataire (banque, opérateur téléphonique, réseau social).

Le droit d'opposition (article 21)

Vous pouvez vous opposer à tout moment au traitement de vos données fondé sur l'intérêt légitime du responsable de traitement ou sur une mission d'intérêt public. Vous disposez également d'un droit d'opposition absolu au traitement de vos données à des fins de prospection commerciale (marketing direct).

Le droit à la limitation du traitement (article 18)

Vous pouvez demander le gel du traitement de vos données dans certains cas : contestation de l'exactitude, opposition en cours d'examen, traitement illicite sans souhait d'effacement.

Comment exercer vos droits

Pour exercer vos droits, adressez une demande écrite au responsable de traitement (ou au délégué à la protection des données — DPO lorsqu'il en a été désigné un). La demande peut être envoyée par courrier, par email ou via un formulaire en ligne mis à disposition sur le site de l'organisme.

Le responsable de traitement doit répondre dans un délai de 30 jours. En cas d'absence de réponse ou de réponse insatisfaisante, vous pouvez saisir la CNIL via son formulaire de plainte en ligne sur cnil.fr.

Les sanctions en cas de non-respect du RGPD

L'article 83 du RGPD prévoit des sanctions financières particulièrement dissuasives :

• Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les manquements aux obligations du responsable de traitement (tenue du registre, analyse d'impact, notification de violation).
• Jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les violations des principes fondamentaux (consentement, droits des personnes, transferts internationaux).

En France, la CNIL a prononcé en 2024 et 2025 des amendes record, notamment à l'encontre de grandes entreprises technologiques pour manquement à l'obligation de consentement en matière de cookies et de traçage publicitaire.

Les violations de données : que faire ?

En cas de violation de données personnelles (fuite, piratage, accès non autorisé), le responsable de traitement doit :

• Notifier la CNIL dans les 72 heures suivant la constatation de la violation (article 33 du RGPD).
• Informer les personnes concernées si la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés (article 34).

Si vous êtes informé d'une violation de vos données, changez immédiatement vos mots de passe et surveillez vos comptes.

Conseils pratiques pour protéger vos données

• Lisez attentivement les politiques de confidentialité avant de créer un compte en ligne.
• Paramétrez vos préférences de cookies et refusez les cookies non essentiels.
• Exercez régulièrement votre droit d'accès pour savoir quelles données sont détenues sur vous.
• Utilisez des mots de passe forts et uniques pour chaque service, et activez l'authentification à deux facteurs.
• En cas de doute sur l'utilisation de vos données, n'hésitez pas à saisir la CNIL.

Vous souhaitez exercer vos droits RGPD ou signaler une utilisation abusive de vos données personnelles ? Posez votre question à l'assistant DroitAI pour obtenir un guide d'action personnalisé.