L'article 16 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, dit Règlement général sur la protection des données (RGPD), consacre le droit de rectification des données à caractère personnel. Il reconnaît à toute personne concernée le droit d'obtenir du responsable du traitement la correction des données inexactes la concernant et la complétion des données incomplètes.
Ce droit s'inscrit dans le prolongement direct du principe d'exactitude posé à l'article 5, paragraphe 1, point d), du RGPD, selon lequel les données à caractère personnel doivent être exactes et, si nécessaire, tenues à jour. Il participe à la protection des droits et libertés fondamentaux des personnes, en évitant que des décisions ou des traitements ne soient fondés sur des informations erronées ou obsolètes.
L'article 16 constitue ainsi un mécanisme essentiel de maîtrise par la personne concernée de l'information qui la concerne et contribue à garantir la loyauté et la qualité des traitements de données personnelles.
Texte officiel de l'article 16 du RGPD
L'article 16 du RGPD dispose :
La personne concernée a le droit d'obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données à caractère personnel la concernant qui sont inexactes. Compte tenu des finalités du traitement, la personne concernée a le droit d'obtenir que les données à caractère personnel incomplètes soient complétées, y compris en fournissant une déclaration complémentaire.
Ce texte consacre un droit simple dans sa formulation mais fondamental dans sa portée, en imposant au responsable du traitement une obligation de correction rapide et effective des données inexactes ou incomplètes.
Analyse juridique et portée de l'article 16
L'article 16 reconnaît à la personne concernée un droit subjectif à l'exactitude de ses données personnelles. Il permet de corriger toute donnée erronée, qu'il s'agisse d'une information manifestement fausse, d'une donnée obsolète ou d'une donnée devenue inappropriée au regard des finalités du traitement.
Le droit de rectification ne se limite pas aux erreurs matérielles. Il peut également porter sur des appréciations ou des informations incomplètes lorsque celles-ci sont de nature à produire des effets juridiques ou à affecter la personne concernée. Le RGPD admet ainsi que la personne puisse fournir une déclaration complémentaire afin de compléter les données, notamment lorsque la rectification stricto sensu n'est pas possible sans altérer la nature du traitement.
Ce droit contribue directement au respect du principe de loyauté du traitement, en empêchant que des données inexactes soient utilisées pour prendre des décisions, établir des profils ou alimenter des fichiers ayant une incidence sur la situation de la personne concernée.
Conditions d'exercice du droit de rectification
Le droit de rectification s'exerce par toute demande adressée au responsable du traitement. Conformément à l'article 12 du RGPD, ce dernier est tenu de faciliter l'exercice de ce droit et ne peut imposer de formalités excessives ou dissuasives. Il peut toutefois demander des informations complémentaires afin de vérifier l'identité du demandeur lorsqu'il existe des doutes raisonnables à cet égard.
La personne concernée n'a pas à justifier sa demande par un intérêt particulier. Il lui appartient simplement d'indiquer quelles données sont inexactes ou incomplètes et, le cas échéant, de fournir les éléments permettant d'en apprécier la rectification ou la complétion.
Le responsable du traitement doit procéder à la rectification dans les meilleurs délais. À défaut, il s'expose à un manquement au principe d'exactitude et aux obligations relatives aux droits des personnes concernées.
Effets de la rectification sur le traitement
La rectification d'une donnée implique que la version corrigée soit utilisée pour l'ensemble des traitements en cours et futurs. Elle suppose également que les systèmes d'information soient mis à jour afin d'éviter toute réapparition de l'erreur.
Lorsque les données rectifiées ont été communiquées à des destinataires, l'article 19 du RGPD impose, en principe, que le responsable du traitement informe ces destinataires de la rectification opérée, sauf si une telle communication se révèle impossible ou exige des efforts disproportionnés.
La rectification contribue ainsi à assurer la cohérence et l'intégrité des données au sein de l'écosystème du traitement.
Articulation avec les autres dispositions du RGPD
L'article 16 doit être lu en lien étroit avec l'article 5, paragraphe 1, point d), relatif au principe d'exactitude, ainsi qu'avec l'article 12 relatif aux modalités d'exercice des droits des personnes concernées. Il s'articule également avec l'article 15 relatif au droit d'accès, qui permet d'identifier les données à rectifier, et avec les articles 17 et 18 relatifs au droit à l'effacement et au droit à la limitation du traitement.
Il constitue une alternative à l'effacement lorsque la donnée n'est pas illicite en elle-même mais simplement inexacte ou incomplète. Dans ce cas, la rectification apparaît comme la mesure la plus proportionnée au regard des finalités poursuivies par le traitement.
Jurisprudence relative à l'article 16
Les autorités de contrôle et les juridictions se réfèrent régulièrement à l'article 16 pour sanctionner des responsables de traitement qui maintiennent des données manifestement inexactes ou qui refusent de procéder à leur correction malgré une demande justifiée de la personne concernée.
La jurisprudence souligne que le droit de rectification doit être effectif et ne peut être vidé de sa substance par des pratiques dilatoires ou par l'absence de mécanismes internes permettant la mise à jour des données. Le maintien de données erronées est susceptible de constituer un manquement autonome aux obligations du RGPD, indépendamment de la licéité initiale de la collecte.
Recommandations de la CNIL et du CEPD
La Commission nationale de l'informatique et des libertés (CNIL) rappelle que les responsables de traitement doivent mettre en place des procédures permettant la mise à jour rapide des données personnelles et la prise en compte des demandes de rectification. Elle recommande notamment de prévoir des outils permettant aux personnes concernées de modifier directement certaines données, lorsque cela est compatible avec la sécurité du traitement.
Le Comité européen de la protection des données (CEPD) souligne que le droit de rectification constitue une garantie essentielle de la qualité des données et qu'il doit être interprété de manière à assurer l'exactitude des informations utilisées dans les traitements, en particulier lorsque ceux-ci produisent des effets juridiques ou significatifs pour les personnes concernées.
L'article 16 du RGPD consacre le droit fondamental de toute personne à l'exactitude de ses données personnelles. Il impose au responsable du traitement de corriger sans délai les données inexactes et de compléter celles qui sont incomplètes, afin de garantir la loyauté et la fiabilité des traitements.
Ce droit participe directement à la protection des libertés et droits fondamentaux et conditionne la qualité des décisions fondées sur des données personnelles. Pour les organisations, le respect de l'article 16 implique la mise en place de mécanismes internes de mise à jour des données et de traitement efficace des demandes de rectification. Il s'agit d'un élément essentiel de la conformité au RGPD et d'un facteur déterminant de confiance dans la gestion des données personnelles.