Blog

Respecter les droits des personnes : le guide pratique RGPD

4 septembre 2026 — 7 min de lecture

Un e-mail arrive un vendredi soir : « Je souhaite que vous supprimiez toutes mes données. » Pas de formulaire officiel, pas de référence à un article de loi — juste une phrase. C'est pourtant une demande d'exercice de droit RGPD à part entière, avec un délai légal qui commence à courir dès sa réception. Voici comment la reconnaître et y répondre correctement.

Les six droits que vous devez pouvoir honorer

• Le droit d'accès — obtenir une copie des données que vous détenez sur soi, et savoir à quoi elles servent.
• Le droit de rectification — corriger une donnée inexacte ou incomplète.
• Le droit à l'effacement (« droit à l'oubli ») — obtenir la suppression des données, sauf obligation légale de conservation (factures, par exemple).
• Le droit d'opposition — s'opposer à un traitement, notamment à la prospection commerciale, sans avoir à se justifier.
• Le droit à la limitation — geler temporairement l'utilisation des données pendant l'examen d'une contestation.
• Le droit à la portabilité — récupérer ses données dans un format réutilisable pour les transférer à un autre prestataire.

Le délai : un mois, pas « dès que possible »

Vous disposez d'un mois à compter de la réception de la demande pour répondre — ce délai est extensible à trois mois pour les demandes complexes ou nombreuses, à condition d'en informer la personne et de justifier le report dans le mois initial. Passé ce délai sans réponse, la personne peut saisir la CNIL directement, et l'absence de réponse est en soi considérée comme un manquement, indépendamment du fond de la demande.

Une demande n'a pas besoin d'être formelle

C'est le point que les PME ratent le plus souvent : il n'existe aucune obligation pour la personne concernée d'utiliser un formulaire, de citer le RGPD, ou même d'écrire un e-mail dédié. Un message glissé dans un e-mail de réclamation commerciale, un appel téléphonique, un commentaire sur les réseaux sociaux peuvent constituer une demande valable dès lors que l'intention est claire. Le réflexe à mettre en place : sensibiliser toute personne au contact de clients (support, commercial, comptabilité) à reconnaître ces demandes et à les faire remonter immédiatement au pilote RGPD, plutôt que d'attendre qu'elles arrivent par un canal « officiel » qui n'existe pas forcément dans une PME.

Vérifier l'identité, sans excès

Vous devez vous assurer que la demande émane bien de la personne concernée — répondre à un droit d'accès à la mauvaise personne serait lui-même une violation de données. Mais la vérification doit rester proportionnée : pour un client déjà identifié par son e-mail habituel, une simple confirmation suffit ; exiger systématiquement une pièce d'identité pour toute demande est excessif et peut lui-même être signalé à la CNIL comme un frein injustifié à l'exercice des droits.

Ne pas oublier les sous-traitants

Une demande d'effacement traitée uniquement dans votre CRM, alors que les mêmes données existent encore chez votre prestataire d'emailing ou votre outil de facturation, n'est pas correctement traitée. Chaque demande doit être répercutée vers tous les destinataires identifiés dans votre registre des traitements pour ce traitement précis — encore une bonne raison de tenir ce registre à jour en amont plutôt que de le découvrir le jour où une demande arrive.