Vous avez sûrement déjà cliqué « Tout accepter » sur une bannière de cookies sans lire une ligne. Vous avez peut-être aussi reçu un mail d’une entreprise vous annonçant qu’une « fuite de données » avait touché votre adresse. Derrière ces moments du quotidien numérique, il existe un texte qui vous donne bien plus de pouvoir que vous ne l’imaginez : le Règlement général sur la protection des données. Applicable depuis le 25 mai 2018 dans toute l’Union européenne, il est souvent présenté comme un casse-tête pour les entreprises. Vu depuis le siège de l’utilisateur, c’est en réalité une boîte à outils concrète. Voici comment s’en servir.
Le RGPD en une phrase : vos données ne sont pas un bien sans propriétaire
Le principe de base est simple : toute organisation qui traite des informations permettant de vous identifier — nom, e-mail, adresse IP, identifiant publicitaire, données de santé, historique d’achats — doit pouvoir justifier pourquoi elle le fait. On appelle cela une « base légale ». Il en existe six, dont le consentement, l’exécution d’un contrat, l’obligation légale ou l’intérêt légitime. Autrement dit, une entreprise ne peut pas collecter vos données « au cas où ». Elle doit avoir une raison, la déclarer, et ne conserver l’information que le temps nécessaire.
Deux autres notions structurent le texte. La minimisation : on ne demande que ce qui est indispensable. Un site de recettes de cuisine n’a aucun besoin de votre date de naissance. Et la transparence : vous devez pouvoir comprendre, dans un langage clair, ce qui est fait de vos informations. C’est la raison d’être de ces longues pages « Politique de confidentialité » que presque personne ne lit — mais qui engagent juridiquement leur auteur.
Vos droits, concrètement
Le règlement vous accorde une série de droits que vous pouvez exercer gratuitement, auprès de n’importe quelle organisation, sans avocat et sans justifier votre demande dans la plupart des cas :
- Droit d’accès : demander une copie de toutes les données détenues sur vous. Les réponses sont parfois édifiantes, notamment chez les plateformes publicitaires.
- Droit de rectification : corriger une information fausse ou obsolète.
- Droit à l’effacement, souvent appelé « droit à l’oubli » : demander la suppression de vos données lorsqu’elles ne sont plus nécessaires ou que vous retirez votre consentement.
- Droit à la portabilité : récupérer vos données dans un format lisible par machine (JSON, CSV) pour les transférer vers un concurrent. C’est ce qui permet, par exemple, d’exporter une bibliothèque musicale ou un historique de messages.
- Droit d’opposition : refuser un traitement, en particulier le profilage à des fins de prospection commerciale.
- Droit de ne pas subir une décision entièrement automatisée ayant un effet significatif sur vous — refus de crédit, tri de candidature — sans intervention humaine.
Le délai de réponse est en principe d’un mois, extensible à trois en cas de demande complexe. Le silence n’est pas une réponse valable : il ouvre la porte à une plainte.
Comment envoyer une demande qui aboutit
La procédure tient en quelques lignes. Écrivez au délégué à la protection des données (DPO) de l’organisme, dont le contact figure normalement dans la politique de confidentialité, ou à défaut au service client. Indiquez clairement le droit invoqué, votre identité et l’adresse e-mail ou le numéro de compte concerné. Conservez une preuve d’envoi — un mail horodaté suffit.
Si la réponse ne vient pas ou ne vous satisfait pas, vous pouvez saisir l’autorité de contrôle. En France, c’est la CNIL, qui met à disposition un formulaire de plainte en ligne et des modèles de courriers prêts à l’emploi. La plainte est gratuite, et vous n’avez pas à démontrer un préjudice financier.
Cookies, consentement et bannières : ce qui est illégal
C’est le terrain sur lequel les utilisateurs sont le plus souvent lésés. Le consentement, au sens du règlement, doit être libre, spécifique, éclairé et univoque. Cela implique plusieurs conséquences très pratiques : refuser doit être aussi simple qu’accepter ; les cases ne doivent pas être pré-cochées ; poursuivre la navigation ne vaut pas accord ; et le retrait du consentement doit rester possible à tout moment.
Les bannières qui affichent un gros bouton « Tout accepter » face à un lien minuscule « Paramétrer » sont dans une zone grise, voire clairement hors des clous. Ces stratagèmes d’interface portent un nom : les dark patterns. Ils ont valu de lourdes amendes à plusieurs géants du web. Petite nuance importante : les cookies strictement nécessaires au fonctionnement du site — panier d’achat, session de connexion — n’exigent pas de consentement. Ceux de mesure d’audience et de publicité ciblée, si.
Des sanctions qui ne sont pas symboliques
Le RGPD prévoit des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel, le montant le plus élevé étant retenu. Ce n’est pas resté théorique : les autorités européennes ont prononcé des sanctions record contre les principales plateformes, souvent sur des questions de consentement publicitaire ou de transferts de données vers les États-Unis. Le cadre de ces transferts a d’ailleurs été bouleversé par l’arrêt Schrems II, du nom du juriste autrichien Max Schrems, dont les recours ont durablement redessiné l’hébergement des données européennes.
Réduire son exposition sans devenir paranoïaque
Exercer ses droits, c’est utile ; limiter la collecte en amont, c’est plus efficace encore. Quelques gestes simples changent beaucoup de choses : utiliser des adresses e-mail jetables ou des alias pour les inscriptions secondaires ; refuser systématiquement les cookies non essentiels ; désactiver l’identifiant publicitaire de son téléphone dans les réglages ; préférer un navigateur qui bloque les traqueurs par défaut, comme Firefox ; et faire un ménage annuel dans les comptes inutilisés, chacun étant une fuite potentielle. Pour vérifier si une de vos adresses a déjà été exposée, le service Have I Been Pwned est une référence.
Un texte imparfait, mais un levier réel
Le RGPD est régulièrement critiqué, et pas sans raison : lenteur des procédures, moyens limités des autorités, complexité administrative pour les petites structures, et une fatigue du consentement qui pousse à cliquer sans réfléchir. Le règlement européen sur l’intelligence artificielle, l’AI Act, vient compléter l’édifice sur les usages algorithmiques, avec les mêmes questions d’application effective.
Reste l’essentiel : c’est aujourd’hui l’un des rares textes qui permet à un particulier, avec un simple e-mail, d’obliger une multinationale à rendre des comptes sur ce qu’elle sait de lui. Ce pouvoir ne vaut que s’il est utilisé. Envoyer une demande d’accès à un service que vous utilisez depuis dix ans est probablement l’exercice le plus instructif que vous ferez cette semaine.