RGPD: le droit de rectification

Une donnée fausse est une donnée qui nuit. Un nom mal orthographié, une adresse périmée, une mention de solvabilité erronée, un historique d’incidents qui n’a plus lieu d’être : dès lors qu’un traitement repose sur des informations inexactes, c’est la personne concernée qui en subit les effets — refus de crédit, courriers égarés, profilage faussé. Le droit de rectification est la réponse que le législateur européen et national apporte à ce risque : il permet à toute personne d’exiger que les données la concernant soient corrigées, complétées ou actualisées.

Ce droit n’est pas une faveur consentie par le responsable du traitement : il est le pendant direct de l’obligation d’exactitude qui pèse sur ce dernier. Parce que les textes imposent au responsable de ne traiter que des données « exactes » et, « si nécessaire, mises à jour », ils confèrent symétriquement à la personne concernée le pouvoir d’en obtenir la correction. Accessorium sequitur principale : le droit suit l’obligation dont il est l’accessoire.

Reste à en mesurer la portée exacte. Quelles données peut-on faire rectifier ? Auprès de qui ? Selon quelles formes, dans quel délai, et à quel coût ? C’est l’objet des développements qui suivent, qui croisent les exigences du Règlement général sur la protection des données (RGPD) et celles de la loi Informatique et libertés (LIL).

I) Le fondement du droit de rectification : le corollaire de l'exigence d'exactitude

Tandis que pèse sur le responsable du traitement un certain nombre d’obligations, la personne concernée jouit de plusieurs droits qui lui sont conférés par la loi Informatique et libertés et le RGPD. Au nombre de ces droits figure le droit de rectification des données à caractère personnel.

Le droit de rectification est le pendant de l’obligation qui échoit au responsable du traitement de traiter, en application de l’article 6, 4° de la LIL, des données à caractère personnel « exactes, complètes, si nécessaire, mises à jour ». Pour assurer le respect de cette obligation, il appartient au responsable du traitement de « prendre les mesures appropriées pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées soient effacées ou rectifiées ».

À cet égard, dans une délibération du 1^er mars 2016, la CNIL a précisé que « l’article 6-4° consiste sans ambiguïté en une obligation de résultat en ce qu’il impose au responsable de traitement de garantir l’exactitude des données à caractère personnel qu’il traite en prenant toutes les mesures utiles afin de rectifier ou d’effacer les données inexactes. Le droit pour les personnes concernées d’obtenir du responsable de traitement la rectification ou l’effacement de données inexactes, énoncé à l’article 40 de la loi Informatique et Libertés, est le corollaire de cette obligation. Il s’agit ainsi pour ce dernier d’atteindre un objectif déterminé et non de déployer ses meilleurs efforts afin d’y parvenir » (CNIL Délib. 2016-053 du 1^er mars 2016).

Reste qu’il s’infère du RGPD que l’exigence d’un traitement portant sur des données exactes et complètes est une obligation, non pas de résultat, mais de moyens. Le texte prévoit, en effet, que « toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder ». La nuance n’est pas anodine : là où la CNIL lit une obligation de résultat, la lettre du Règlement — qui se réfère aux « mesures raisonnables » — incline vers une obligation de moyens renforcée, le responsable n’étant tenu que de ce qui est proportionné aux finalités poursuivies.

Dans l’hypothèse où les données traitées par le responsable du traitement ne seraient pas complètes, exactes ou actualisées, la personne concernée dispose d’un droit de rectification.

II) Le contenu du droit de rectification

L’article 16 du RGPD prévoit en ce sens que « la personne concernée a le droit d’obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données à caractère personnel la concernant qui sont inexactes. Compte tenu des finalités du traitement, la personne concernée a le droit d’obtenir que les données à caractère personnel incomplètes soient complétées, y compris en fournissant une déclaration complémentaire ».

De son côté, l’article 40 de la LIL dispose que « toute personne physique justifiant de son identité peut exiger du responsable d’un traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l’utilisation, la communication ou la conservation est interdite. »

Il ressort de cette disposition que le droit de rectification est entendu par les textes dans un sens large. Cette rectification peut, en effet, consister à appliquer plusieurs traitements sur les données visées. Elles peuvent ainsi être :

• Rectifiées ;
• Complétées ;
• Mises à jour ;
• Verrouillées.

Pour ce faire, il est cependant nécessaire que ces données soient :

• Inexactes ;
• Incomplètes ;
• Équivoques ;
• Périmées.

Dans l’hypothèse où les données visées par la demande de rectification seraient parfaitement exactes et n’auraient pas été collectées en contravention de la LIL, le responsable du traitement sera légitimement en droit de refuser de procéder à la rectification sollicitée. Le droit de rectification n’est pas, en effet, un droit de réécriture discrétionnaire de son dossier : il suppose la démonstration d’un défaut affectant la donnée.

III) L'exercice du droit de rectification

• Le destinataire de la demande
  • La demande de rectification doit être adressée au responsable du traitement, qui est le débiteur de l’obligation.
  • Il est donc inopérant de formuler cette demande auprès de la CNIL, laquelle n’intervient qu’en cas de défaillance du responsable.

• La justification de l’identité
  • Pour accéder à la demande de la personne concernée, le responsable du traitement sera fondé à exiger du demandeur qu’il justifie de son identité.
  • Il ne devra pas, néanmoins, lui imposer des pièces justificatives qui seraient disproportionnées eu égard à la demande formulée.

• Le coût de la demande
  • L’exercice du droit de rectification est gratuit, de sorte que le demandeur ne saurait supporter aucune charge.
  • À cet égard, l’article 40, I, al. 4 de la LIL prévoit que, lorsqu’il obtient une modification de l’enregistrement, l’intéressé est en droit d’obtenir le remboursement des frais correspondant au coût de la copie.

IV) L'exécution du droit de rectification

• Délai
  • À réception de la demande de rectification, le responsable du traitement devra s’exécuter dans les meilleurs délais et, au plus tard, dans un délai d’un mois.
  • En cas d’absence de réponse du responsable du traitement dans le délai d’un mois à compter de la demande, la personne concernée peut saisir la Commission nationale de l’informatique et des libertés, qui se prononce sur cette demande dans un délai de trois semaines à compter de la date de réception de la réclamation.

• Preuve
  • L’article 40, I de la LIL prévoit que, lorsque l’intéressé en fait la demande, le responsable du traitement doit justifier, sans frais pour le demandeur, qu’il a procédé aux opérations exigées en vertu de l’alinéa précédent.
  • En cas de contestation, la charge de la preuve incombe au responsable auprès duquel est exercé le droit d’accès, sauf lorsqu’il est établi que les données contestées ont été communiquées par l’intéressé ou avec son accord.

Cette règle probatoire mérite d’être soulignée : en renversant la charge de la preuve au détriment du responsable du traitement, le législateur consacre l’idée que celui qui maîtrise la donnée doit aussi répondre de sa correction. Actori incumbit probatio cède ici devant la logique protectrice du droit des données personnelles — c’est au responsable, et non à la personne concernée, qu’il revient d’établir qu’il a bien exécuté son obligation.