Protection des données personnelles : interview d'une experte RGPD

En 2026, la question n’est plus de savoir si nos données personnelles circulent, mais de comprendre où elles vont, qui les exploite, et quels leviers concrets existent pour reprendre la main. Le Règlement général sur la protection des données, entré en application en 2018, a introduit des droits précis pour chaque citoyen européen — mais huit ans après, une large partie du public continue de les ignorer ou de les juger trop abstraits pour s’en servir réellement. À Pornic et dans les foyers de Loire-Atlantique, les techniciens informatiques constatent régulièrement la même scène : un client découvre, en changeant de smartphone, l’ampleur des applications qui ont accès à ses photos, sa localisation ou ses contacts, sans jamais avoir explicitement consenti à cette collecte en connaissance de cause.

Pour clarifier ce que le RGPD change vraiment dans la vie quotidienne, Clara Fontaine, rédactrice pour le guide dépannage informatique de Pornic, a interrogé Camille Berthelot, consultante en protection des données personnelles depuis neuf ans, qui accompagne aussi bien des PME que des particuliers dans l’exercice de leurs droits numériques.

Le RGPD, huit ans après : que change-t-il vraiment pour un particulier ?

Clara Fontaine : Le RGPD est entré en application en 2018. Huit ans plus tard, beaucoup de gens continuent de cliquer sur "Accepter tous les cookies" sans réfléchir, et considèrent la protection des données comme un sujet réservé aux juristes ou aux grandes entreprises. Est-ce que ce texte a réellement changé quelque chose au quotidien des particuliers ?

Camille Berthelot : Oui, profondément, même si l'effet est souvent invisible parce qu'il se joue en coulisses. Avant le RGPD, une entreprise pouvait collecter, conserver et revendre des données personnelles avec très peu de contraintes réelles. Le règlement a introduit des obligations structurantes : finalité précise de la collecte, durée de conservation limitée, consentement explicite pour les usages non essentiels, et surtout des droits opposables que chaque personne peut faire valoir directement auprès de l'organisme concerné.

Ce qui a le plus changé concrètement, c’est le rapport de force. Avant, un particulier qui voulait supprimer son compte d’un service et ses données associées se heurtait souvent à un mur : formulaires introuvables, service client qui traînait, absence de réponse. Aujourd’hui, cette demande a un cadre légal précis, un délai de réponse obligatoire, et une autorité de contrôle — la CNIL en France — vers laquelle se tourner en cas de blocage. Le rapport de force n’est pas parfaitement équilibré, mais il existe un recours qui n’existait pas avant 2018.

Le problème que je constate, ce n’est pas que le RGPD ne fonctionne pas, c’est que la majorité des particuliers ignore l’étendue de ce qu’il leur permet de faire. Beaucoup de gens pensent que leurs seuls droits se limitent à refuser les cookies. En réalité, ils disposent d’un arsenal bien plus large : accès, rectification, effacement, opposition, portabilité, limitation du traitement. Chacun de ces droits a une utilité concrète très différente selon la situation.

Cette méconnaissance des droits numériques rejoint d’ailleurs un autre terrain où la vigilance fait souvent défaut : celui des tentatives de fraude par message. Notre article sur comment reconnaître et éviter le spam et l’hameçonnage détaille les signaux d’alerte à surveiller dans une boîte mail, un complément utile à la vigilance sur les données personnelles.

Les droits RGPD concrets : accès, rectification, effacement, opposition

Clara Fontaine : Pouvez-vous détailler ces droits un par un, avec des exemples très concrets de situations où un particulier pourrait s'en servir ?

Le RGPD accorde six droits principaux aux personnes concernées, chacun répondant à un besoin différent :

• Droit d’accès — obtenir la confirmation qu’une organisation traite des données vous concernant et en obtenir une copie. Exemple : demander à un réseau social l’ensemble des données collectées sur votre profil, y compris les centres d’intérêt déduits pour le ciblage publicitaire.
• Droit de rectification — corriger une donnée inexacte ou incomplète. Exemple : une adresse postale obsolète chez un opérateur téléphonique qui continue de vous envoyer du courrier au mauvais domicile.
• Droit à l’effacement (souvent appelé “droit à l’oubli”) — demander la suppression de vos données quand elles ne sont plus nécessaires ou que vous retirez votre consentement. Exemple : supprimer un ancien compte de forum ou de site de rencontre jamais utilisé depuis des années.
• Droit d’opposition — refuser un traitement, en particulier à des fins de prospection commerciale. Exemple : s’opposer à la réception d’e-mails publicitaires d’une enseigne dont vous êtes client depuis longtemps.
• Droit à la portabilité — récupérer vos données dans un format réutilisable pour les transférer ailleurs. Exemple : récupérer l’historique de vos playlists musicales avant de changer de plateforme de streaming.
• Droit à la limitation du traitement — geler temporairement l’utilisation de vos données sans les faire supprimer, le temps qu’un litige se résolve. Exemple : contester l’exactitude d’une donnée tout en empêchant son usage pendant la vérification.

Ces droits ne sont pas théoriques : ils s’exercent par un simple e-mail ou formulaire, en principe gratuitement, et l’organisme sollicité a l’obligation légale d’y répondre dans un délai encadré.

Camille Berthelot : Ce que je recommande systématiquement à mes clients particuliers, c'est de hiérarchiser leurs priorités. Le droit d'effacement est souvent celui qui a le plus d'impact concret et le plus rapide à mettre en œuvre : supprimer un vieux compte, c'est réduire immédiatement la surface d'exposition de vos données en cas de fuite future. Le droit d'opposition à la prospection commerciale est le plus facile à activer au quotidien — un simple lien "se désinscrire" en bas d'un e-mail, ou une demande écrite si ce lien n'existe pas ou ne fonctionne pas.

Le droit d’accès, en revanche, demande un peu plus de rigueur : il faut identifier clairement l’organisme, rédiger une demande précise, et parfois relancer si la réponse tarde. Mais c’est aussi le droit le plus révélateur, car il montre souvent l’ampleur réelle de ce qui est collecté — bien au-delà de ce que l’utilisateur imaginait.

Comment rédiger une demande RGPD efficace

Clara Fontaine : Concrètement, comment un particulier doit-il s'y prendre pour exercer l'un de ces droits ? Y a-t-il un formulaire type, une adresse à privilégier ?

Camille Berthelot : Il n'existe pas de formulaire officiel unique, mais une structure de demande efficace suit toujours le même schéma. D'abord, identifier le bon interlocuteur : la plupart des grandes organisations ont un délégué à la protection des données (DPO) dont le contact figure dans la politique de confidentialité, généralement accessible en bas de page du site ou dans les paramètres de l'application. À défaut, le service client généraliste peut transmettre la demande, mais la traçabilité est moins bonne.

Ensuite, la demande doit être écrite — un e-mail suffit largement, il n’est pas nécessaire de passer par un courrier recommandé sauf en cas de litige avéré — et doit contenir trois éléments : l’identification claire du demandeur (nom, e-mail associé au compte, éventuellement un numéro de client), le droit précis que vous exercez (accès, effacement, opposition, etc.), et le périmètre exact de la demande si nécessaire (par exemple, “l’ensemble des données liées à mon compte X” plutôt qu’une formulation vague).

Un point que beaucoup de gens ignorent : il n’est pas nécessaire de justifier sa demande d’effacement ou d’opposition. Vous n’avez pas à expliquer pourquoi vous souhaitez que vos données soient supprimées — c’est un droit, pas une faveur. Certains services demandent parfois une justification par réflexe commercial ; ce n’est pas une obligation légale.

Enfin, conservez une trace de votre demande — la date d’envoi, une capture d’écran si c’est via un formulaire en ligne — car c’est cette date qui fait courir le délai légal de réponse d’un mois.

Réseaux sociaux : le terrain le plus exposé au quotidien

Clara Fontaine : Les réseaux sociaux sont probablement le terrain où les particuliers exposent le plus de données personnelles, souvent sans en avoir pleinement conscience. Quels réflexes recommandez-vous pour limiter cette exposition ?

Camille Berthelot : Les réseaux sociaux collectent trois catégories de données bien distinctes, et c'est important de les différencier pour comprendre où agir. D'abord, les données déclaratives : ce que vous publiez volontairement, votre date de naissance, votre ville, vos photos. Ensuite, les données comportementales : ce que vous "likez", le temps passé sur chaque type de contenu, les profils que vous consultez sans interagir. Enfin, les données déduites : des catégories construites par des algorithmes à partir des deux premières, parfois très intimes — orientation politique probable, état de santé supposé, situation financière estimée.

Le réflexe le plus efficace consiste à faire un audit des paramètres de confidentialité au moins une fois par an, car les plateformes modifient régulièrement leurs réglages par défaut, souvent dans un sens plus permissif pour la collecte. Concrètement : vérifier qui peut voir vos publications passées, désactiver la localisation automatique sur les photos partagées, limiter le partage de vos données avec les applications tierces connectées à votre compte — un point que beaucoup négligent complètement.

Ce dernier point mérite une attention particulière : au fil des années, on accumule des dizaines d’autorisations données à des applications tierces via “Se connecter avec Facebook” ou “Se connecter avec Google”. Beaucoup de ces applications ne sont plus utilisées, mais l’autorisation reste active, et donc le flux de données aussi. Un ménage régulier de ces connexions tierces, dans les paramètres de sécurité du compte, est l’un des gestes les plus rentables pour limiter son exposition.

Les erreurs les plus fréquentes que commettent les particuliers

Clara Fontaine : Dans votre pratique de consultante, quelles sont les erreurs les plus récurrentes que vous observez chez les particuliers concernant la gestion de leurs données personnelles ?

Voici les erreurs les plus fréquentes que je rencontre, classées par ordre d’impact :

• Accepter systématiquement tous les cookies sans lire les options de personnalisation, alors qu’un simple clic supplémentaire permet souvent de refuser les cookies non essentiels.
• Réutiliser le même mot de passe sur plusieurs services, ce qui transforme une fuite de données isolée en compromission généralisée de tous les comptes liés.
• Accorder sans réflexion toutes les permissions demandées par une application mobile (accès aux contacts, à la localisation, au microphone) dès l’installation, sans revenir dessus ensuite.
• Laisser des comptes inactifs ouverts pendant des années — anciens forums, sites de comparaison, services abandonnés — qui restent autant de points d’exposition en cas de piratage de la base de données de ce service.
• Partager des informations sensibles (numéro de sécurité sociale, copie de pièce d’identité) par e-mail non chiffré, un canal peu sécurisé pour ce type de document.

Camille Berthelot : La réutilisation des mots de passe est probablement l'erreur qui a l'impact le plus dévastateur, car elle transforme un incident isolé en catastrophe généralisée. Si vos identifiants d'un site marchand secondaire fuitent lors d'un piratage, et que vous utilisez le même mot de passe pour votre messagerie principale, l'attaquant a potentiellement accès à toute votre vie numérique en quelques minutes, par un mécanisme appelé "credential stuffing" — le test automatisé des mêmes identifiants sur des centaines de services.

C’est d’ailleurs une porte d’entrée classique vers la compromission d’un compte de messagerie ou de réseau social, un sujet que nous détaillons largement dans notre article sur comment récupérer un compte piraté sur Gmail ou Facebook en plusieurs étapes, qui explique la procédure complète si cela vous arrive malgré les précautions.

Applications mobiles et objets connectés : les nouveaux fronts de collecte

Clara Fontaine : Au-delà des réseaux sociaux, les foyers accumulent de plus en plus d'objets connectés — enceintes, caméras, montres, thermostats intelligents. Ces appareils posent-ils des risques différents des applications classiques ?

Camille Berthelot : Oui, et c'est une préoccupation croissante dans mon métier. Les objets connectés ont une particularité par rapport à une application sur smartphone : ils collectent souvent des données de façon continue et peu visible, sans interface claire pour vérifier ce qui est réellement enregistré. Une enceinte connectée écoute en permanence un mot d'activation, ce qui suppose un traitement audio local, mais certains modèles ont été pris en défaut à conserver des extraits de conversation plus longs que nécessaire, parfois analysés par des humains pour améliorer les algorithmes de reconnaissance vocale.

Les caméras de surveillance domestique posent un risque différent : au-delà de la collecte par le fabricant, elles peuvent capter des zones qui ne devraient pas l’être — la rue, le jardin du voisin — ce qui pose aussi un problème vis-à-vis du RGPD appliqué par le propriétaire lui-même envers des tiers filmés sans leur consentement. C’est un point souvent ignoré : le particulier qui installe une caméra devient lui-même responsable de traitement au sens du règlement s’il filme au-delà de sa propre propriété.

Les montres connectées et objets de santé (tensiomètres, balances connectées) manipulent des données de santé, une catégorie considérée comme “sensible” par le RGPD, avec un niveau de protection renforcé. Beaucoup d’utilisateurs ignorent que ces données transitent souvent par des serveurs de sociétés tierces, distinctes du fabricant de l’appareil, dans le cadre de partenariats commerciaux peu visibles dans l’interface grand public. Pour les foyers qui souhaitent mieux comprendre les risques numériques dans leur ensemble, numero-utile.com propose des ressources complémentaires sur la protection des consommateurs face aux pratiques commerciales douteuses.

Mon conseil pratique : à l’installation de chaque nouvel objet connecté, prendre cinq minutes pour consulter les paramètres de confidentialité de l’application associée, désactiver les micros et caméras quand l’appareil n’est pas utilisé activement, et vérifier une fois par trimestre la liste des autorisations tierces accordées.

Tableau récapitulatif : les droits RGPD et comment les exercer

Droit	Usage typique	Délai de réponse	Comment l’exercer
Droit d’accès	Savoir ce qu’une organisation sait de vous	1 mois (prolongeable de 2 mois)	E-mail au DPO ou service client, demande écrite précise
Droit de rectification	Corriger une donnée inexacte	1 mois	Formulaire de compte ou e-mail avec la correction souhaitée
Droit à l’effacement	Supprimer un compte ou des données obsolètes	1 mois	Demande écrite, aucune justification requise
Droit d’opposition	Stopper la prospection commerciale	Immédiat à 1 mois	Lien de désinscription ou e-mail explicite
Droit à la portabilité	Récupérer ses données pour changer de service	1 mois	Demande d’export dans un format structuré (CSV, JSON)
Droit à la limitation	Geler un traitement contesté	1 mois	Demande motivée en cas de litige sur l’exactitude des données

Que faire en cas de refus ou de silence de l’organisme sollicité ?

Clara Fontaine : Que se passe-t-il concrètement quand une entreprise ignore une demande RGPD, ou refuse de l'appliquer sans justification claire ?

Camille Berthelot : C'est une situation malheureusement encore fréquente, notamment auprès de petites structures moins sensibilisées au règlement, ou de services clients débordés qui ne transmettent pas correctement la demande au bon service. La première étape consiste toujours à relancer par écrit, en rappelant la date de la demande initiale et le délai légal, ce qui suffit souvent à débloquer la situation par simple effet de rappel des obligations.

Si le silence ou le refus persiste au-delà du délai légal, la démarche suivante est de saisir la CNIL via son téléservice de plainte en ligne, entièrement gratuit. Il faut joindre les échanges précédents avec l’organisme pour prouver la démarche préalable. La CNIL peut alors intervenir directement auprès de l’organisme, et dans les cas les plus graves ou répétés, engager une procédure de sanction — les particuliers sont parfois surpris d’apprendre que certaines amendes record du RGPD sont nées de plaintes individuelles qui semblaient, au départ, tout à fait modestes.

Ce que je précise toujours à mes clients : la CNIL n’est pas un guichet réservé aux cas exceptionnels. C’est un service public gratuit, conçu précisément pour ce type de situation. Beaucoup de particuliers renoncent à leurs droits par méconnaissance de cette voie de recours, ou par crainte d’une démarche compliquée — alors que le formulaire en ligne prend rarement plus de dix minutes à remplir.

Vigilance et bon sens : les réflexes numériques du quotidien

Clara Fontaine : Pour conclure, si vous deviez résumer en quelques réflexes simples ce qu'un particulier devrait faire au quotidien pour mieux protéger ses données, quels seraient-ils ?

Voici les réflexes que je recommande systématiquement, sans nécessiter de compétence technique particulière :

• Faire un audit annuel des applications tierces connectées à vos comptes principaux (réseaux sociaux, Google, Apple) et révoquer celles qui ne sont plus utilisées.
• Utiliser un gestionnaire de mots de passe pour générer des mots de passe uniques par service, plutôt que de mémoriser des variantes d’un même mot de passe.
• Activer la double authentification sur tous les comptes qui le proposent, en priorité la messagerie principale, souvent la clé de voûte de tous les autres services.
• Supprimer les comptes inactifs plutôt que de les laisser dormir, en particulier ceux qui contiennent des informations sensibles ou des moyens de paiement enregistrés.
• Vérifier les paramètres de confidentialité par défaut de chaque nouvel appareil ou application dès l’installation, plutôt que de les découvrir des mois plus tard.

Camille Berthelot : Un dernier point que je tiens à souligner : la protection des données personnelles n'est pas qu'une affaire de grandes plateformes internationales. Elle concerne aussi des acteurs plus modestes, parfois moins bien préparés à répondre à des demandes complexes. Pour les particuliers qui souhaitent gérer plus sereinement leurs comptes et boîtes mail, notamment en cas d'oubli d'identifiants ou de doublons de comptes, une ressource spécialisée comme [fichiers-emails.fr](https://fichiers-emails.fr/) peut aider à y voir plus clair dans la gestion de ses adresses et fichiers de contacts.

La vigilance numérique du quotidien est aussi étroitement liée à la vigilance face aux tentatives de manipulation. Beaucoup d’atteintes aux données personnelles ne viennent pas d’un piratage technique sophistiqué, mais d’une simple manipulation : un faux technicien qui appelle en se faisant passer pour un support informatique légitime et qui obtient un accès à distance. Notre article sur les arnaques au faux support technique et faux dépannage informatique détaille précisément ce type de fraude et les réflexes pour s’en prémunir. De même, les seniors, souvent moins familiers avec les subtilités du numérique, restent une cible privilégiée de ces pratiques ; notre guide de sécurité numérique pour les seniors propose des repères adaptés à ce public.

Ce qu’il faut retenir de cette interview

Camille Berthelot le rappelle avec insistance : la protection des données personnelles n’est pas un sujet réservé aux experts. C’est un ensemble de réflexes simples, accessibles à tous, qui deviennent efficaces dès lors qu’ils sont appliqués régulièrement — un peu comme l’entretien d’un appareil informatique, qui prévient bien des pannes évitables lorsqu’il est fait avec constance plutôt que dans l’urgence, une fois le problème déjà survenu.