Vous avez des droits sur vos données personnelles : accéder à ce qu’un organisme détient sur vous, le faire corriger ou supprimer, vous opposer à son usage ou le récupérer. L’organisme dispose d’un mois pour répondre. Sans réponse satisfaisante, vous pouvez saisir la CNIL. Côté protection, trois réflexes comptent : des mots de passe longs et uniques, la double authentification et une vigilance accrue après toute fuite.
Le sujet n’a rien d’abstrait. Près d’un Français sur deux a désormais été notifié d’une violation de ses données personnelles, selon le baromètre Ipsos publié le 15 septembre 2026 par Cybermalveillance.gouv.fr. Ce guide pour protéger ses données personnelles s’appuie sur la CNIL et Cybermalveillance.gouv.fr.
L’essentiel en sept points
- Vos droits : information, opposition, accès, rectification, effacement, portabilité. La réponse est due sous un mois.
- Comment les exercer : par courriel ou formulaire en ligne, par courrier (recommandé avec accusé de réception conseillé) ou sur place.
- Sans réponse : vous pouvez adresser une plainte à la CNIL.
- Cookies : le consentement doit être libre, spécifique, éclairé et univoque, et vous devez pouvoir le retirer aussi simplement que vous l’avez donné.
- Mots de passe : la CNIL vise 12 caractères variés, 14 caractères sans caractère spécial imposé, ou une phrase de passe d’au moins 7 mots. Un mot de passe différent par service.
- Double authentification : partout où elle est proposée. La CNIL la juge plus sûre qu’un mot de passe seul.
- Après une fuite : changer d’abord les mots de passe des services essentiels, se méfier des messages qui exploitent la fuite, et ne pas passer par un site qui prétend vous dire si vous êtes concerné.
Vos droits sur vos données
Tout organisme qui collecte vos données doit vous informer, avant la collecte : de son identité, de la finalité du fichier, du caractère obligatoire ou facultatif de vos réponses et des conséquences d’un refus, des destinataires des données, de vos droits et d’éventuels transferts hors de l’Union européenne. Lisez ces mentions avant de remplir un formulaire.
La CNIL détaille les droits que vous pouvez exercer.
- Le droit d’accès : obtenir toutes les informations vous concernant, connaître leur origine, obtenir une copie, et accéder aux éléments sur lesquels l’organisme s’est fondé pour une décision, comme le score qui a conduit au rejet d’une demande de crédit.
- Le droit de rectification : faire corriger, compléter, mettre à jour ou supprimer des données inexactes.
- Le droit d’opposition : vous opposer, pour des motifs légitimes, au traitement de vos données, sauf s’il répond à une obligation légale. Vous devez pouvoir refuser la réutilisation de vos coordonnées à des fins de sollicitation commerciale. Une simple mention dans les conditions générales ne suffit pas : une case à cocher, non cochée par défaut, doit vous permettre de choisir.
- Le droit à la portabilité : recevoir vos données dans un format structuré, lisible par une machine, et les faire transmettre à un autre organisme quand c’est techniquement possible.
- Le droit à l’effacement : demander la suppression de vos données dans les cas prévus.
Le consentement, quand il est requis, doit être un acte actif, libre, spécifique et informé, préalable à la collecte. Dans un formulaire en ligne, cela se traduit par une case à cocher non cochée par défaut. Il est requis notamment pour les données sensibles, pour une réutilisation à d’autres fins, pour certains cookies et pour la prospection commerciale par voie électronique.
Comment exercer vos droits
Vous vous adressez d’abord à l’organisme, et pas à la CNIL. Il doit vous indiquer où et comment.
- Par courriel ou formulaire en ligne : à l’adresse ou au lien indiqués.
- Par courrier papier : l’envoi en recommandé avec accusé de réception est recommandé, pour dater votre demande.
- Sur place : l’organisme doit proposer un rendez-vous d’une durée suffisante. Vous pouvez vous faire accompagner.
L’organisme dispose d’un mois pour répondre à compter de la réception. Si la demande est incomplète, il peut demander des précisions, et le délai est alors suspendu. Il peut demander une pièce d’identité seulement s’il a un doute raisonnable sur votre identité. Il ne peut pas exiger de pièces excessives. Même s’il ne détient aucune donnée sur vous, il doit répondre dans le délai.
Il peut refuser une demande d’accès, mais doit motiver sa décision et vous indiquer les voies et délais de recours. Il peut aussi ne pas répondre aux demandes manifestement abusives par leur nombre ou leur caractère répétitif. La copie peut donner lieu à des frais qui ne dépassent pas le coût de reproduction. Les éléments transmis doivent être compréhensibles : codes et sigles doivent être expliqués.
Si vos démarches n’aboutissent pas, ou en cas de retour insatisfaisant, vous pouvez adresser une plainte à la CNIL, via son site.
Cookies et traceurs : les règles
Les cookies et traceurs regroupent aussi les pixels invisibles et le « fingerprinting », qui calcule une empreinte unique de votre appareil. Ils peuvent être déposés lors de la consultation d’un site, d’une application ou de l’utilisation d’un logiciel, sur ordinateur comme sur smartphone.
Le principe est le consentement préalable avant tout dépôt ou lecture. Il doit être libre, spécifique, éclairé et univoque, et vous devez pouvoir le retirer à tout moment avec la même simplicité que vous l’avez accordé. Le site doit vous donner les moyens d’accepter, de refuser et de retirer votre choix.
Le consentement n’est pas nécessaire pour certains traceurs : ceux qui mémorisent votre choix sur les cookies, ceux de l’authentification à un service, ceux du panier d’achat, ceux de la langue ou de la présentation de l’interface quand c’est attendu, ceux de l’équilibrage de charge, et certains traceurs de mesure d’audience sous conditions. Il est requis pour la publicité personnalisée et pour les cookies des réseaux sociaux, comme ceux des boutons de partage.
En pratique, refusez ce qui n’est pas indispensable à la fonction que vous utilisez, et regardez le bouton « refuser » : s’il est caché ou beaucoup plus difficile d’accès que « accepter », le site ne respecte pas la règle.
Mots de passe : les recommandations de la CNIL
La CNIL a mis à jour en octobre 2022 sa recommandation sur les mots de passe, destinée aux professionnels mais utile aux particuliers. Elle vise une robustesse mesurée par l’entropie, et donne trois exemples équivalents :
- au moins 12 caractères comprenant majuscules, minuscules, chiffres et caractères spéciaux, à choisir dans une liste d’au moins 37 caractères possibles ;
- au moins 14 caractères comprenant majuscules, minuscules et chiffres, sans caractère spécial obligatoire ;
- une phrase de passe d’au moins 7 mots.
Selon la CNIL, environ 60 % des notifications de violation de données qu’elle recevait depuis début 2021 étaient liées à du piratage, et beaucoup auraient pu être évitées par de bonnes pratiques sur les mots de passe.
Les règles concrètes pour un particulier :
- un mot de passe différent pour chaque site et chaque application, car le vol d’un seul ne doit pas compromettre tous vos comptes ;
- un gestionnaire de mots de passe pour les stocker, plutôt que de les retenir ou de les noter : Cybermalveillance.gouv.fr cite par exemple KeePassXC ;
- aucune information évidente (date de naissance, prénom) ;
- la double authentification dès qu’elle est proposée. La CNIL considère que l’authentification à double facteur offre plus de sécurité que le mot de passe seul.
Une clé de sécurité physique est l’une des façons de faire la double authentification. À titre d’exemple, la Yubico Security Key C NFC, certifiée FIDO U2F et FIDO2, est affichée autour de 35 euros sur Amazon au moment de la rédaction. Elle ne fonctionne qu’avec les services qui la prennent en charge : vérifiez la liste avant d’acheter.
Fuite de données : que faire
Une violation de données recouvre les fuites, vols ou pertes de données, accidentels ou malveillants. Si elle vous expose à des risques, l’organisme responsable doit vous en informer dans les meilleurs délais. Pensez à vérifier vos messages, spams compris.
Quelques précisions de la CNIL :
- elle ne peut pas vous dire si vos données figurent dans un fichier piraté ; vous pouvez interroger l’organisme concerné ;
- certains sites affirment détenir les données et pouvoir vous dire si vous êtes concerné : elle déconseille de les utiliser.
Voici les gestes à adopter.
- Changez vos mots de passe, en commençant par les services essentiels : courriel, impôts, banques, sites de commerce. Changez aussi tous les services où vous aviez le même mot de passe.
- Activez la double authentification.
- Méfiez-vous du hameçonnage. Les données volées servent à écrire des messages crédibles, se faisant passer pour la sécurité sociale, votre banque ou un transporteur. N’ouvrez pas les pièces jointes, ne cliquez pas, supprimez le message. Passez par l’adresse officielle du site, saisie dans votre navigateur. Notre guide des arnaques détaille la conduite à tenir.
- Surveillez vos comptes, et prévenez vos banques au moindre doute.
- En cas d’usurpation d’identité, déposez plainte au plus vite auprès d’un commissariat ou d’une gendarmerie, et prévenez vos banques. Si l’usurpation est confirmée, vous pouvez vérifier si vous êtes fiché à la Banque de France, notamment au fichier des incidents de remboursement des crédits aux particuliers, et si des comptes ont été ouverts à votre nom en consultant le fichier des comptes bancaires (Ficoba) depuis votre espace particulier sur impots.gouv.fr.
- Prévenez vos proches, surtout les personnes âgées ou celles qui n’ont pas un accès aisé à internet.
Les habitudes qui limitent l’exposition
- Remplissez seulement les champs obligatoires d’un formulaire. Une réponse facultative peut rester vide.
- Lisez les mentions d’information avant de donner vos coordonnées, et décochez les cases de prospection.
- Exercez votre droit d’opposition pour ne plus être sollicité, et votre droit d’effacement pour quitter un service.
- Mettez à jour vos appareils et vos applications.
- Limitez le nombre de comptes ouverts : chaque service qui détient vos données est une fuite possible.
- Connectez-vous depuis les applications ou sites officiels, pas depuis des liens reçus par message.
Pour vos démarches officielles, passez par les espaces officiels : notre guide des démarches administratives en ligne les recense. Pour un téléphone, voyez notre dossier sur le choix, la sécurité et la revente d’un smartphone. Retrouvez d’autres conseils dans la rubrique technologie.
Questions fréquentes
En combien de temps un organisme doit-il répondre à une demande d’accès ?
Un mois à compter de la réception. Il peut demander des précisions si la demande est incomplète, et le délai est suspendu jusqu’à leur réception.
Peut-on refuser qu’une entreprise utilise ses données à des fins commerciales ?
Oui. Vous avez un droit d’opposition, et vous devez pouvoir l’exercer dès la commande ou la signature du contrat, avec une case à cocher non cochée par défaut.
Que faire si l’organisme ne répond pas ?
Vous pouvez adresser une plainte à la CNIL, après avoir écrit à l’organisme. Conservez la preuve de votre demande.
Faut-il accepter les cookies d’un site ?
Non. Seuls les traceurs strictement nécessaires au service demandé sont dispensés de consentement. Pour la publicité personnalisée et les boutons de réseaux sociaux, le site doit recueillir votre accord et vous laisser le refuser et le retirer aussi simplement.
Quelle longueur pour un mot de passe solide ?
La CNIL donne trois exemples équivalents : 12 caractères variés, 14 caractères sans caractère spécial imposé, ou une phrase de passe de 7 mots au moins.
Mes données ont fuité : que faire en premier ?
Changer les mots de passe des services essentiels (courriel, impôts, banques, commerce), activer la double authentification et se méfier des messages inattendus. Ne passez pas par un site qui prétend vous dire si vous êtes concerné.
La CNIL peut-elle me dire si je suis touché par une fuite ?
Non. Elle ne peut pas confirmer la présence de vos données dans un fichier piraté. Vous pouvez interroger l’organisme concerné.