Vos droits et comment vous y opposer

Les droits dont vous disposez dépendent fortement de votre lieu de résidence. Cette leçon couvre quatre démarches concrètes et officielles : les droits d’accès et d’effacement du RGPD en UE, les recommandations de la CNIL française pour les exercer, la nouvelle plateforme californienne de demande de suppression et de refus, et l’approche plus limitée et sectorielle du droit fédéral américain.

L’UE : accès et effacement au titre du RGPD

Les recommandations officielles de la Commission européenne pour les citoyens résument deux droits qui s’appliquent à toute organisation traitant vos données personnelles dans l’UE, y compris les courtiers en données. D’abord, le droit d’accès : vous pouvez « demander l’accès aux données personnelles qu’une entreprise ou une organisation détient sur vous » et avez droit à « une copie de vos données, gratuitement, dans un format accessible », avec une réponse exigée dans un délai d’un mois. Ensuite, le droit à l’effacement, souvent appelé droit à l’oubli : « si vos données personnelles ne sont plus nécessaires ou sont détenues illégalement, vous pouvez demander qu’elles soient effacées », un droit qui s’étend à la demande de déréférencement de pages vous concernant auprès des moteurs de recherche sous certaines conditions. Le guide est honnête sur une limite réelle : certaines données ne peuvent pas être effacées lorsque cela entrerait en conflit avec d’autres droits, comme la liberté d’expression, ou un intérêt public réel pour des informations sur une personnalité publique.

La CNIL, l’autorité française de protection des données, décrit la même famille de droits en pratique : le droit d’accès, le droit de faire corriger des données inexactes, le droit d’opposition au traitement, et le droit à l’effacement. Ses recommandations sont directes sur la marche à suivre : contactez vous-même l’organisation qui détient vos données ; si elle ne répond pas de manière adéquate, vous pouvez saisir la CNIL, qui peut enquêter et, si nécessaire, sanctionner l’organisation. En pratique, exercer ce droit face à un courtier en données signifie généralement identifier quel courtier détient vos données et lui envoyer une demande écrite, car aucun portail unique ne couvre toutes les entreprises à la fois.

Californie : une seule demande à des centaines de courtiers à la fois

La Californie a mis en place un outil que l’UE n’a pas : un dispositif géré par l’État, spécifiquement destiné aux courtiers en données. La plateforme de demande de suppression et de refus (Delete Request and Opt-out Platform, DROP) de la California Privacy Protection Agency permet à un résident californien d’« envoyer une seule demande à plus de 600 courtiers en données enregistrés » pour leur demander de supprimer les informations personnelles qu’ils détiennent et de cesser de les vendre, sans avoir à contacter chaque courtier individuellement. Selon le calendrier publié par l’agence, la plateforme a été lancée le 1er janvier 2026, les courtiers ont commencé à traiter les demandes à partir du 1er août 2026, et d’ici novembre 2026 tous les courtiers enregistrés doivent avoir achevé leur premier cycle et supprimer les données correspondantes de manière récurrente — l’agence précise que les données doivent être supprimées tous les 45 jours. La vérification passe par l’Identity Gateway de Californie, et l’agence précise : « vous n’avez pas besoin de créer un compte California Identity Gateway, et vos informations ne sont pas conservées par DROP. » C’est un outil réservé aux résidents de Californie : il n’atteint pas les courtiers qui ne se sont jamais enregistrés auprès de l’État, et il n’étend pas ces droits aux personnes hors de Californie.

Les États-Unis au niveau fédéral : plus étroit, et surtout manuel

Les États-Unis n’ont aucune loi fédérale unique accordant un droit général d’accès ou de suppression des données détenues par un courtier quelconque, comme le fait le RGPD. Les recommandations aux consommateurs de la FTC sur les sites de recherche de personnes — une catégorie visible de courtiers — sont franches sur ce que cela signifie en pratique : vous pouvez généralement « le faire vous-même, un par un, gratuitement, ou payer un service pour s’en charger à votre place », en recherchant votre nom sur chaque site et en suivant le propre processus de suppression de ce site. Ces mêmes recommandations avertissent qu’un désabonnement réussi « pourrait ne pas résoudre toutes vos préoccupations de confidentialité », car vos informations peuvent encore apparaître dans des rapports construits autour de vos proches. Par ailleurs, la FTC propose un outil plus restreint mais réellement utile : ses recommandations sur l’arrêt du courrier indésirable expliquent que les consommateurs peuvent refuser les offres de crédit et d’assurance préapprouvées, construites à partir de listes fournies par les grandes agences d’évaluation du crédit, pour cinq ans ou définitivement via le service dédié optoutprescreen.com — tout en précisant clairement que cela « n’arrêtera pas toutes les offres non sollicitées », puisque d’autres listes existent en dehors de ce système.