Droits du règlement général sur la protection des données : vos droits RGPD en 2026

1. Les huit droits fondamentaux du RGPD en 2026

Le règlement (UE) 2016/679 confère aux personnes physiques huit droits principaux, dont la portée a été précisée par les lignes directrices du CEPD (version 03/2026) et par la jurisprudence récente. En 2026, ces droits sont renforcés par l'obligation pour les responsables de traitement de fournir une information « proactive et contextualisée ».

« En 2026, le droit à l'information ne se limite plus à une simple politique de confidentialité. Le responsable doit démontrer qu'il a activement facilité l'exercice des droits. L'arrêt DataMind a posé le principe d'une 'accessibilité immédiate' via un portail dédié. » — Me. Sophie Delarue, avocate au barreau de Paris, spécialiste RGPD.

La liste actualisée des droits

• Droit à l'information (art. 13-14) : obligation de transparence renforcée, notamment pour les algorithmes.
• Droit d'accès (art. 15) : obtenir confirmation du traitement et une copie des données.
• Droit de rectification (art. 16) : faire corriger des données inexactes.
• Droit à l'effacement (art. 17) : droit à l'oubli, y compris dans les systèmes d'IA.
• Droit à la limitation (art. 18) : geler le traitement en cas de contestation.
• Droit à la portabilité (art. 20) : récupérer et transférer ses données.
• Droit d'opposition (art. 21) : s'opposer au traitement pour prospection ou profilage.
• Droit de ne pas être soumis à une décision automatisée (art. 22) : obtenir une intervention humaine.

2. Droit d'accès : comment obtenir vos données (art. 15)

Le droit d'accès est la porte d'entrée de tous les autres droits. En 2026, vous pouvez exiger non seulement la liste des données traitées, mais aussi une copie « intelligible et structurée » dans un format électronique courant (JSON, CSV). La CJUE a rappelé dans l'arrêt Schrems III (2025) que la simple mise à disposition d'un fichier PDF non trié peut constituer une violation du droit d'accès si elle rend la compréhension difficile.

Que devez-vous obtenir ?

• Les catégories de données traitées (identité, coordonnées, données bancaires, etc.)
• Les finalités du traitement (prospection, profilage, archivage, etc.)
• Les destinataires ou catégories de destinataires (sous-traitants, partenaires)
• La durée de conservation ou les critères utilisés pour la déterminer
• L'origine des données si elles n'ont pas été collectées directement auprès de vous
• Les informations sur l'existence d'une prise de décision automatisée (profilage)

« Ne vous contentez pas d'un résumé. Exigez une copie complète. Si le responsable refuse, saisissez la CNIL. En 2026, la amende pour obstruction au droit d'accès peut atteindre 4% du chiffre d'affaires mondial, comme l'a rappelé la décision CNIL n°2026-012 à l'encontre de la société HealthData. » — Me. Julien Mercier, avocat en droit du numérique.

3. Droit à l'effacement et à l'oubli numérique (art. 17)

Le « droit à l'oubli » reste l'un des droits du règlement général sur la protection des données les plus sollicités. En 2026, son application a été étendue aux données utilisées pour entraîner des modèles d'intelligence artificielle. L'arrêt DataMind c/ CNIL (CJUE, 12 mars 2026) a jugé qu'un responsable de traitement ne peut pas refuser l'effacement en invoquant simplement la « nécessité technique » de conserver les données d'entraînement. Il doit démontrer une impossibilité réelle et proportionnée.

Les motifs légitimes de refus (limités)

• Liberté d'expression et d'information (journalisme, création artistique)
• Obligation légale de conservation (droit comptable, fiscal)
• Raison d'intérêt public dans le domaine de la santé publique
• Archivage dans l'intérêt public, recherche scientifique ou statistique
• Constatation, exercice ou défense de droits en justice

« L'arrêt DataMind est un tournant. Un moteur de recherche ou une IA générative ne peut plus opposer un refus automatique. Le droit à l'effacement prime sur l'intérêt économique du traitement, sauf à démontrer un préjudice grave et irréversible. » — Me. Claire Fontaine, avocate spécialiste des données personnelles.

4. Droit à la portabilité : changer de service sans perdre vos données (art. 20)

Le droit à la portabilité vous permet de récupérer les données que vous avez fournies à un responsable de traitement et de les transmettre directement à un autre responsable, lorsque le traitement est automatisé et fondé sur le consentement ou l'exécution d'un contrat. En 2026, ce droit est facilité par l'obligation d'interopérabilité imposée par le Data Governance Act (DGA) et le nouvel AI Act.

Données concernées

• Données fournies activement (nom, adresse, préférences)
• Données observées (historique de navigation, données de localisation)
• Données générées par l'utilisation du service (logs, scores)

En 2026, la portabilité s'étend également aux données de santé et aux données issues d'objets connectés, sous réserve de respecter les secrets protégés par la loi.

« Ne laissez pas votre opérateur téléphonique ou votre banque vous retenir captif. Vous avez le droit de récupérer vos relevés bancaires, vos contacts et votre historique en un clic. Si le transfert direct n'est pas possible, exigez une copie dans un format standardisé (XML, CSV). » — Me. Antoine Lefèvre, avocat en droit de la consommation numérique.

5. Droit d'opposition et profilage : dire stop aux algorithmes (art. 21-22)

Vous avez le droit de vous opposer à tout moment au traitement de vos données à des fins de prospection commerciale, y compris le profilage lié à cette prospection. En 2026, ce droit est étendu aux décisions automatisées fondées sur l'IA, conformément à l'article 22 RGPD et à l'AI Act (catégorie « risque élevé »).

Quand pouvez-vous vous opposer ?

• Traitement à des fins de marketing direct (obligation de stop immédiat)
• Traitement fondé sur l'intérêt légitime (sauf motif impérieux du responsable)
• Profilage susceptible d'entraîner une discrimination (crédit, assurance, embauche)

« L'opposition au profilage doit être aussi simple que le consentement. Si un site vous propose de 'personnaliser votre expérience' sans vous offrir d'opposition claire, il viole le RGPD. En 2026, la CNIL a sanctionné trois plateformes de e-commerce pour des boutons 'Accepter' plus visibles que 'Refuser'. » — Me. Karim Benali, avocat en conformité numérique.

6. Délais, sanctions et jurisprudence 2026

Le non-respect des droits du règlement général sur la protection des données expose les responsables de traitement à des sanctions administratives pouvant atteindre 20 000 000 € ou 4 % du chiffre d'affaires annuel mondial. En 2026, la CNIL a infligé une amende record de 45 millions d'euros à une entreprise de e-santé pour avoir refusé l'effacement de données médicales.

7. Comment exercer vos droits : procédure et modèles

Exercer vos droits RGPD est gratuit et ne nécessite pas de justificatif particulier, si ce n'est la preuve de votre identité. En 2026, la CNIL recommande d'utiliser son téléservice « Droit d'accès simplifié » pour les démarches courantes. Voici la procédure à suivre :

1. Identifiez le responsable de traitement (mentions légales du site, politique de confidentialité).
2. Adressez votre demande par écrit (email, formulaire en ligne, courrier). Précisez le droit exercé (accès, effacement, etc.).
3. Joignez une copie de votre pièce d'identité (si nécessaire). Depuis 2026, la CNIL interdit de demander plus de deux justificatifs.
4. Conservez une preuve d'envoi (accusé de réception, copie de l'email).
5. En cas de refus ou d'absence de réponse : saisissez la CNIL (délai : 1 mois après le refus ou l'expiration du délai légal).

« N'ayez pas peur d'insister. Le RGPD est fait pour vous. Si le responsable traîne, rappelez-lui que la CNIL peut le sanctionner. En 2026, plus de 60% des plaintes aboutissent à une sanction ou à une mise en demeure. » — Me. Sarah Cohen, avocate en droit des libertés.

8. Articulation avec l'AI Act et les nouvelles obligations

Depuis l'entrée en vigueur partielle de l'AI Act (règlement européen sur l'intelligence artificielle) en 2025, les droits du règlement général sur la protection des données interagissent directement avec les obligations des systèmes d'IA à haut risque. En 2026, tout système de profilage utilisant l'IA doit permettre à la personne concernée d'obtenir une explication claire de la décision et de contester celle-ci.

Points de convergence RGPD / AI Act

• Droit à une explication individuelle (art. 22 RGPD + art. 86 AI Act)
• Droit à l'effacement des données d'entraînement (art. 17 RGPD)
• Obligation de réaliser une analyse d'impact (AIPD) pour les systèmes à haut risque
• Interdiction de la notation sociale et de l'exploitation des vulnérabilités

En 2026, la CJUE a confirmé dans l'arrêt Digital Rights Watch que les décisions basées sur l'IA doivent être réversibles par un humain. Si vous êtes victime d'une décision automatisée injuste, vous pouvez demander la révision et l'annulation.

« L'AI Act ne remplace pas le RGPD : il le complète. Un système d'IA qui traite des données personnelles doit respecter les deux textes. En pratique, cela signifie que vous pouvez exiger la suppression de vos données d'un modèle d'IA, même si cela implique un réentraînement partiel. » — Me. David Girard, avocat en droit de l'IA.