Article 21 du RGPD : Droit d’opposition

Introduction

L’article 21 du Règlement Général sur la Protection des Données (RGPD) consacre le droit d’opposition, qui permet à toute personne concernée de refuser, sous certaines conditions, que ses données personnelles fassent l’objet d’un traitement. Ce droit est central pour renforcer le contrôle des individus sur l’utilisation de leurs données personnelles et s’applique notamment aux traitements fondés sur l’intérêt légitime ou sur l’exécution d’une mission d’intérêt public

Explication de l’article

L’article 21 prévoit que toute personne peut s’opposer, à tout moment, pour des raisons tenant à sa situation particulière, à un traitement de ses données personnelles fondé sur l’article 6(1)(e) (mission d’intérêt public) ou (f) (intérêt légitime du responsable du traitement), y compris au profilage réalisé sur ces bases. Dans ce cas, le responsable du traitement doit cesser le traitement des données, sauf s’il démontre un « motif légitime impérieux » qui prévaut sur les intérêts, droits et libertés de la personne concernée, ou si le traitement est nécessaire à la constatation, l’exercice ou la défense de droits en justice.

Ce droit s’applique également spécifiquement à la prospection commerciale : la personne concernée a le droit de s’opposer, sans justification, à tout moment, à l’utilisation de ses données à ces fins (notamment le marketing direct ou le profilage lié à la prospection). Dès opposition, les données ne peuvent plus être utilisées à cette fin. Le responsable doit informer explicitement et séparément l’individu de ce droit, au plus tard lors de la première communication.

Le RGPD prévoit aussi que l’exercice du droit d’opposition doit être possible via des moyens automatisés dans le contexte de services en ligne. En cas de traitement à des fins scientifiques, historiques ou statistiques, l’opposition reste possible, sauf si le traitement est requis pour une mission d’intérêt public.

En résumé, l’article 21 donne un pouvoir d’intervention considérable à la personne sur ses données, tout en imposant des obligations de transparence et de respect pour les responsables de traitement, particulièrement en matière de marketing et de profilage.

Ceci est une alerte Toute société ayant des bases de données se doit de respecter les règles du RGPD, quelle que soit la taille de l'entreprise.

Libérez-vous du RGPD

Un DPO externe certifié prend en charge votre conformité et sécurise vos données, sans contrainte pour vous.

Je prends rendez-vous avec un expert

Texte original du RGPD

La personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l’article 6, paragraphe 1, point e) ou f), y compris un profilage fondé sur ces dispositions. Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu’il ne prouve qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l’exercice ou la défense de droits en justice.
Lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s’opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection.
Lorsque la personne concernée s’oppose au traitement à des fins de prospection, les données à caractère personnel ne sont plus traitées à ces fins.
Au plus tard au moment de la première communication avec la personne concernée, le droit visé aux paragraphes 1 et 2 est explicitement porté à l’attention de la personne concernée et est présenté clairement et séparément de toute autre information.
Dans le cadre de l’utilisation de services de la société de l’information, et nonobstant la directive 2002/58/CE, la personne concernée peut exercer son droit d’opposition à l’aide de procédés automatisés utilisant des spécifications techniques.
Lorsque des données à caractère personnel sont traitées à des fins de recherche scientifique ou historique ou à des fins statistiques en application de l’article 89, paragraphe 1, la personne concernée a le droit de s’opposer, pour des raisons tenant à sa situation particulière, au traitement de données à caractère personnel la concernant, à moins que le traitement ne soit nécessaire à l’exécution d’une mission d’intérêt public.

Équivalent directive 95/46 CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données

Article 14

Les États membres reconnaissent à la personne concernée le droit:

a) au moins dans les cas visés à l’article 7 points e) et f), de s’opposer à tout moment, pour des raisons prépondérantes et légitimes tenant à sa situation particulière, à ce que des données la concernant fassent l’objet d’un traitement, sauf en cas de disposition contraire du droit national. En cas d’opposition justifiée, le traitement mis en oeuvre par le responsable du traitement ne peut plus porter sur ces données;

b) de s’opposer, sur demande et gratuitement, au traitement des données à caractère personnel la concernant envisagé par le responsable du traitement à des fins de prospection

d’être informée avant que des données à caractère personnel ne soient pour la première fois communiquées à des tiers ou utilisées pour le compte de tiers à des fins de prospection et de se voir expressément offrir le droit de s’opposer, gratuitement, à ladite communication ou utilisation.

Les États membres prennent les mesures nécessaires pour garantir que les personnes concernées ont connaissance de l’existence du droit visé au point b) premier alinéa.

Équivalent de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (loi Informatique et Liberté)

Article 56

Le droit d’opposition s’exerce dans les conditions prévues à l’article 21 du règlement (UE) 2016/679 du 27 avril 2016.

Ce droit ne s’applique pas lorsque le traitement répond à une obligation légale ou, dans les conditions prévues à l’article 23 du même règlement, lorsque l’application de ces dispositions a été écartée par une disposition expresse de l’acte instaurant le traitement.

Analyse des 3 textes qui précèdent

Sous le RGPD, le droit d’opposition s’exerce principalement pour les traitements reposant sur deux fondements :

Article 6.1.e) : mission d’intérêt public
Article 6.1.f) : intérêts légitimes du responsable

Cela inclut le profilage fondé sur ces bases. Une personne concernée peut donc s’opposer, pour des raisons tenant à sa situation particulière, au traitement de ses données dès lors que l’un de ces fondements est invoqué. Cependant, le responsable de traitement peut continuer le traitement s’il démontre des « motifs légitimes et impérieux » qui prévalent sur les droits et libertés de la personne, ou s’il s’agit d’une demande nécessaire pour la constatation, l’exercice ou la défense de droits en justice.

En prospection commerciale, le droit d’opposition s’exerce de façon inconditionnelle, sans justification à fournir. Ce droit doit être mentionné de façon claire et séparée, dès la première communication. En matière de recherche scientifique, historique ou statistique (art. 89), le refus peut être opposé si le traitement est « nécessaire à une mission d’intérêt public ».

Contrairement au passé, le RGPD restreint donc le droit d’opposition : il ne s’applique ni au traitement basé sur le consentement (mais celui-ci peut être retiré à tout moment), ni à d’autres bases légales.

L’article 14 de la Directive 95/46 CE permettait à toute personne concernée de s’opposer pour « raisons prépondérantes et légitimes tenant à sa situation particulière », au traitement de ses données pour :

l’exécution d’une mission de service public (art. 7(e)),
ou l’intérêt légitime du responsable (art. 7(f)).

Surtout, la Directive permettait d’exercer le droit d’opposition contre toute prospection commerciale, peu importe la base légale du traitement.

La loi Informatique et Libertés avait, avant le RGPD, une tradition bien plus favorable à la personne concernée :

L’article 38 de la loi Informatique et Libertés permet à toute personne de s’opposer, pour « motifs légitimes », à tout traitement la concernant, quelle que soit la base légale(consentement, nécessité contractuelle, intérêt vital, etc.), sauf obligation légale.
En matière de prospection, le droit d’opposition est absolu, sans justification.

Désormais l’article 56 de la loi Informatique et Libertés actualisée établit que le droit d’opposition s’exerce désormais dans les mêmes conditions que l’article 21 du RGPD, c’est-à-dire principalement lorsque le traitement repose sur les intérêts légitimes ou une mission d’intérêt public du responsable. Il ne s’applique pas si le traitement répond à une obligation légale ou si l’application du droit d’opposition a été expressément écartée selon l’article 23 du RGPD.

Jurisprudence

4 décisions de la CNIL mentionnent cet article :

Sanction : 1 000 000€ d’amende pour Total Energies. Cet article fut cité dans la délibération rendue par la CNIL à l’égard de la société Total Energies, délibération au cours de laquelle la société fut condamnée à 1 000 000€ d’amende par l’autorité de contrôle.

Il était reproché à la société l’absence de traitement des demandes d’opposition de la part des personnes concernées quant à l’utilisation de leurs données personnelles pour de la prospection commerciale.(Délibération SAN-2022-011 du 23 juin 2022 – Légifrance )

Sanction : 300 000€ d’amende pour Free. La CNIL a constaté que la société ne prenait pas en compte les demandes d’opposition formulées, les personnes concernées ne souhaitant plus recevoir de prospection.(Délibération SAN-2021-021 du 28 décembre 2021 – Légifrance )

Sanction : 2 250 000€ d’amende pour Carrefour France. La CNIL a constaté que malgré les demandes d’opposition formulées, les personnes concernées continuaient à recevoir de la prospection commerciale, leurs demandes n’étant absolument pas traitées par la société.

(https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000042563756 )

Sanction : 500 000€ d’amende pour Futura. L’autorité de contrôle constate que la société ne dispose pas d’un moyen de gestion des demandes d’opposition.(Délibération SAN-2019-010 du 21 novembre 2019 – Légifrance)

Provvedimento del 10 luglio 2025 [10162267]. L’Autorité italienne a constaté que l’université a manqué à répondre correctement aux demandes d’accès, rectification, suppression et opposition de la personne concernée (articles 12, 15, 17, 21 RGPD).