Le Cloud Privé
Vos droits
RGPD : vos droits sur vos données, et comment les faire respecter
Presque tout ce qui s'écrit sur le RGPD s'adresse aux entreprises. Ce guide s'adresse à vous : ce que le règlement vous permet d'exiger de n'importe quel service, en combien de temps, et ce qui se passe quand il fait la sourde oreille.
Publié le · Sources : texte du règlement, CNIL, Légifrance · Lecture : 9 minutes
Le RGPD, applicable depuis le 25 mai 2018, donne à toute personne en Europe neuf droits sur ses données : information, accès, rectification, effacement, limitation, portabilité, opposition, décision automatisée, déréférencement. Ils s'exercent gratuitement, par simple demande à l'organisme, qui doit répondre sous un mois. Sans réponse, la CNIL peut être saisie en ligne.
1. Le RGPD en deux minutes
Le règlement général sur la protection des données (règlement UE 2016/679) s'applique depuis le 25 mai 2018 dans toute l'Union européenne. Il concerne tout organisme, public ou privé, français ou étranger, qui traite des données de personnes se trouvant en Europe : votre banque, votre mairie, l'application de photos de votre famille, un réseau social américain.
Trois idées le résument :
- Pas de traitement sans raison. Un organisme doit avoir une base légale (votre consentement, un contrat, une obligation légale, un intérêt légitime…) et ne collecter que ce dont il a besoin.
- Vous gardez la main. Les neuf droits décrits plus bas vous permettent de savoir, corriger, effacer, emporter, refuser.
- Ça se paie cher. Les amendes peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial. En France, la CNIL, l'autorité chargée de faire appliquer le règlement, a prononcé 83 sanctions en 2025 pour près de 487 millions d'euros, et reçu un record de 20 150 plaintes.
Une garantie que vos données sont illisibles. Un service conforme peut lire tout ce que vous lui confiez. La conformité encadre les usages ; seul le chiffrement de bout en bout retire techniquement la possibilité de lire.
2. Vos neuf droits, en clair
| Droit | Ce qu'il permet | Exemple pour une famille |
|---|---|---|
| Information (art. 13 et 14) | Savoir, avant toute collecte, qui traite vos données, pourquoi, combien de temps, et avec qui elles sont partagées. | Une application de photos doit dire où elle héberge vos images et si elle les analyse. |
| Accès (art. 15) | Obtenir une copie de toutes les données qu'un organisme détient sur vous, et les informations sur leur usage. | Demander à un réseau social tout ce qu'il sait de vous, y compris les données déduites. |
| Rectification (art. 16) | Faire corriger une donnée inexacte ou compléter une donnée incomplète. | Corriger une date de naissance ou une adresse erronée. |
| Effacement (art. 17) | Faire supprimer vos données lorsqu'elles ne sont plus nécessaires, si vous retirez votre consentement, ou si le traitement est illicite. | Faire effacer les photos de vos enfants d'un service que vous n'utilisez plus. |
| Limitation (art. 18) | « Geler » l'usage de vos données le temps de régler un désaccord. | Bloquer l'utilisation de vos données pendant que vous contestez leur exactitude. |
| Portabilité (art. 20) | Récupérer les données que vous avez fournies dans un format lisible par une machine, pour les emporter ailleurs. | Exporter l'intégralité de vos photos et vidéos avant de changer d'application. |
| Opposition (art. 21) | Refuser un traitement fondé sur l'intérêt légitime, et toujours refuser la prospection commerciale. | Vous opposer à l'utilisation de vos publications pour entraîner une intelligence artificielle. |
| Décision automatisée (art. 22) | Ne pas être soumis à une décision prise uniquement par un algorithme avec des effets importants, et obtenir une intervention humaine. | Contester un refus de crédit ou de service décidé sans personne. |
| Déréférencement | Faire retirer un résultat associé à votre nom dans un moteur de recherche (issu de la jurisprudence de la Cour de justice de l'UE et de l'article 17). | Retirer de Google un ancien article qui vous nomme sans intérêt public actuel. |
Les numéros d'articles renvoient au règlement UE 2016/679. La CNIL décrit chaque droit et propose des modèles de courrier (sources en fin de page).
3. Exercer un droit, étape par étape
- Trouvez le bon contact. Politique de confidentialité, mentions légales, rubrique « vos droits » ou « confidentialité » des paramètres du compte. Les organismes qui en ont un indiquent l'adresse de leur délégué à la protection des données (DPO).
- Écrivez une demande précise. Le droit exercé, les données ou le compte concernés, vos coordonnées, la date. La CNIL met à disposition des modèles de courrier pour chaque droit. Un e-mail suffit ; un courrier recommandé n'est utile que pour dater une demande contestée.
- Justifiez votre identité seulement si on vous le demande. L'organisme peut exiger un justificatif en cas de doute raisonnable sur votre identité, pas par principe. Ne joignez pas de copie de pièce d'identité spontanément.
- Comptez un mois. C'est le délai de réponse, prolongeable de deux mois pour une demande complexe, à condition de vous prévenir dans le premier mois. C'est gratuit.
- Gardez une trace. La demande, l'accusé de réception, la réponse : c'est le dossier que la CNIL vous demandera si vous devez la saisir.
« Vous pouvez supprimer votre compte depuis les paramètres. » Supprimer un compte n'équivaut pas toujours à effacer les données : certains services conservent des copies, des sauvegardes ou des données « anonymisées » qui ne le sont qu'à moitié. Demandez explicitement l'effacement, et la confirmation écrite qu'il a été fait.
4. Si rien ne bouge : la CNIL
Sans réponse dans le délai, ou avec une réponse qui ne vous satisfait pas, vous pouvez déposer une plainte auprès de la CNIL, en ligne, gratuitement. Joignez votre demande initiale et la réponse éventuelle. La CNIL a reçu 20 150 plaintes en 2025, 10 % de plus qu'en 2024 ; elle instruit, rappelle l'organisme à l'ordre, et peut sanctionner.
Pour un organisme établi dans un autre pays de l'Union, la plainte reste déposée auprès de la CNIL, qui la transmet à l'autorité compétente. Et pour un préjudice réel, la voie judiciaire reste ouverte en parallèle.
Pour les données d'un mineur, une règle spécifique accélère les choses : sans effacement ni réponse sous un mois, la CNIL saisie doit se prononcer dans les trois mois (loi Informatique et Libertés, article 51).
5. Les droits des enfants
- Avant 15 ans, les parents décident. En France, un mineur ne peut consentir seul au traitement de ses données par un service en ligne qu'à partir de 15 ans (loi Informatique et Libertés, article 45). En dessous, le consentement des titulaires de l'autorité parentale est requis, conjointement avec celui de l'enfant.
- Un droit à l'effacement renforcé. Toute donnée collectée alors que la personne était mineure doit être effacée « dans les meilleurs délais » sur sa demande, quel que soit l'auteur de la publication, avec la procédure accélérée décrite plus haut (article 51).
- Le droit à l'image, à part. Depuis la loi du 19 février 2024, les parents protègent en commun le droit à l'image de leur enfant et l'associent aux décisions selon son âge. Notre guide sur le sharenting détaille ce que cela change.
6. Appliqué aux applications de photos de famille
Trois questions à poser à n'importe quel éditeur avant de lui confier l'album de vos enfants, et ce que vos droits vous permettent d'exiger.
- Puis-je tout récupérer ? Le droit à la portabilité vous permet d'emporter vos photos et vidéos. Un service sérieux propose un export complet, sans passer par une demande écrite.
- Puis-je tout effacer, et le vérifier ? Le droit d'effacement s'applique aux photos, mais aussi aux sauvegardes, aux miniatures, aux données d'analyse (visages, lieux) que le service aurait produites.
- Que sait le service de mes enfants ? Le droit d'accès couvre tout : prénoms, dates de naissance, mais aussi ce que le service a déduit des photos.
Le chiffrement de bout en bout change la nature de ces réponses. Dans PrivateFamily, vos photos, vidéos, légendes et commentaires sont chiffrés sur votre téléphone avant l'envoi ; ils sont dans l'application, sur vos appareils. Une limite connue existe lors de la création d'une invitation. La suppression du compte se fait depuis l'application, et ce qui reste lisible côté serveur est documenté. Nos engagements en matière de données sont publiés au même endroit que pour n'importe quel autre service : dans la politique de confidentialité, avec l'adresse à laquelle exercer vos droits.
7. Questions fréquentes
Faut-il payer pour exercer ses droits RGPD ?
Non. L'exercice des droits est gratuit. Un organisme ne peut facturer des frais raisonnables, ou refuser, que si les demandes sont manifestement infondées ou excessives, par exemple répétées sans motif.
Un organisme peut-il refuser d'effacer mes données ?
Oui, dans des cas précis : une obligation légale de conservation (factures, contrats), un contentieux en cours, ou la liberté d'expression et d'information. Il doit alors vous expliquer pourquoi. Pour tout le reste, l'effacement est dû, en particulier si les données ne sont plus nécessaires ou si vous retirez votre consentement.
Le droit à l'oubli permet-il de tout faire disparaître d'Internet ?
Non. Le droit au déréférencement retire un résultat associé à votre nom dans un moteur de recherche ; la page d'origine reste en ligne. Pour la faire supprimer, il faut s'adresser au site qui la publie, en exerçant le droit d'effacement.
Combien de temps un organisme a-t-il pour répondre ?
Un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois si la demande est complexe ou si les demandes sont nombreuses, à condition de vous en informer dans le premier mois. L'absence totale de réponse ouvre la voie à une plainte auprès de la CNIL.
Que faire si je ne trouve pas à qui écrire ?
Regardez la politique de confidentialité, les mentions légales, puis les paramètres du compte : les grandes plateformes ont des formulaires dédiés. À défaut, écrivez à l'adresse de contact générale en mentionnant le RGPD. Une demande envoyée à la mauvaise adresse d'un organisme reste une demande valable.
8. Sources
- Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), texte consolidé, articles 12 à 22 (droits) et 83 (amendes) : eur-lex.europa.eu
- CNIL, « Les droits pour maîtriser vos données personnelles » : cnil.fr · Modèles de courrier : cnil.fr/modeles/courrier · Déposer une plainte : cnil.fr/plaintes
- CNIL, « Rapport annuel : le bilan et les actions marquantes de la CNIL en 2025 », 18 mai 2026 (20 150 plaintes, 323 contrôles, 83 sanctions) : cnil.fr · « Sanctions et mesures correctrices : bilan 2025 », 9 février 2026 (486 839 500 euros) : cnil.fr
- Légifrance, loi n° 78-17 du 6 janvier 1978 (Informatique et Libertés), article 45 (consentement du mineur de 15 ans) et article 51 (effacement des données collectées pendant la minorité) : legifrance.gouv.fr
- Cour de justice de l'Union européenne, arrêt C-131/12 « Google Spain », 13 mai 2014 (droit au déréférencement) : curia.europa.eu
- Légifrance, loi n° 2024-120 du 19 février 2024 (droit à l'image des enfants) : legifrance.gouv.fr
Des droits simples à exercer. PrivateFamily ne demande ni e-mail ni numéro, chiffre vos photos sur votre téléphone avant l'envoi et permet de supprimer son compte depuis l'application. Découvrir PrivateFamily →