L'article 21 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 consacre le droit d'opposition de la personne concernée au traitement de ses données à caractère personnel. Il permet à toute personne, pour des raisons tenant à sa situation particulière, de s'opposer à un traitement fondé sur l'intérêt légitime du responsable du traitement ou sur l'exécution d'une mission d'intérêt public, ainsi qu'au traitement de ses données à des fins de prospection.
Ce droit constitue un instrument central de protection des personnes contre des traitements qu'elles estiment inadaptés, excessifs ou intrusifs. Il offre un mécanisme d'équilibre entre les intérêts poursuivis par le responsable du traitement et les droits et libertés fondamentaux de la personne concernée.
L'article 21 s'inscrit ainsi dans la logique du principe de licéité et de loyauté posé à l'article 5 du RGPD, en permettant à la personne concernée de contester la poursuite d'un traitement pourtant initialement licite.
Texte officiel de l'article 21 du RGPD
L'article 21 du RGPD dispose notamment que :
La personne concernée a le droit de s'opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l'article 6, paragraphe 1, point e), ou f), y compris un profilage fondé sur ces dispositions. Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu'il ne démontre qu'il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l'exercice ou la défense de droits en justice.
Lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s'opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins, y compris au profilage dans la mesure où il est lié à une telle prospection. Lorsque la personne concernée s'oppose au traitement à des fins de prospection, les données à caractère personnel ne sont plus traitées à ces fins.
Au plus tard au moment de la première communication avec la personne concernée, le droit visé aux paragraphes 1 et 2 est explicitement porté à son attention et est présenté clairement et séparément de toute autre information.
Dans le cadre de l'utilisation de services de la société de l'information, la personne concernée peut exercer son droit d'opposition par des moyens automatisés utilisant des spécifications techniques.
Analyse juridique et portée de l'article 21
Le droit d'opposition permet à la personne concernée de s'opposer à un traitement qui repose sur l'intérêt légitime du responsable du traitement ou sur l'exécution d'une mission d'intérêt public. Il suppose que la personne invoque des raisons tenant à sa situation particulière, ce qui implique une appréciation individualisée de sa demande.
Sur le plan juridique, l'article 21 instaure un mécanisme de mise en balance entre les intérêts du responsable du traitement et ceux de la personne concernée. Le responsable du traitement ne peut maintenir le traitement que s'il démontre l'existence de motifs légitimes et impérieux prévalant sur les droits et libertés de la personne.
Ce droit traduit la volonté du législateur européen d'éviter que la base juridique de l'intérêt légitime ne soit utilisée de manière abusive ou automatique, sans considération pour la situation concrète des personnes concernées.
Spécificité du droit d'opposition à la prospection
L'article 21 consacre un régime particulier pour la prospection, notamment commerciale. Dans ce cas, la personne concernée peut s'opposer au traitement à tout moment et sans avoir à justifier de sa situation particulière.
L'opposition à la prospection produit un effet immédiat et absolu. Dès lors que la personne concernée exerce ce droit, ses données ne peuvent plus être utilisées à des fins de prospection, quel que soit le fondement juridique initial du traitement.
Cette règle vise à garantir une protection renforcée contre les sollicitations non désirées et à assurer un contrôle effectif des personnes sur l'utilisation de leurs données à des fins marketing.
Information de la personne concernée et modalités d'exercice
Le responsable du traitement est tenu d'informer la personne concernée de l'existence du droit d'opposition au plus tard lors de la première communication avec elle. Cette information doit être claire, distincte et facilement accessible, conformément au principe de transparence prévu à l'article 12 du RGPD.
L'article 21 prévoit également que le droit d'opposition peut être exercé par des moyens automatisés dans le cadre des services de la société de l'information, ce qui implique la mise en place de mécanismes simples, tels que des liens de désinscription ou des interfaces dédiées.
Le responsable du traitement ne peut subordonner l'exercice du droit d'opposition à des formalités excessives ou dissuasives.
Effets juridiques de l'opposition
Lorsque l'opposition est fondée sur l'article 21, paragraphe 1, le responsable du traitement doit cesser le traitement, sauf s'il démontre l'existence de motifs légitimes et impérieux. Cette démonstration doit être objective, documentée et proportionnée.
En matière de prospection, la cessation du traitement est automatique et ne donne lieu à aucune mise en balance des intérêts. Le responsable du traitement doit alors mettre à jour ses fichiers afin d'exclure la personne concernée de toute action de prospection ultérieure.
Lorsque les données ont été communiquées à des destinataires, l'article 19 impose en principe que ceux-ci soient informés de l'opposition, afin d'assurer l'effectivité de la mesure.
Articulation avec les autres droits reconnus aux personnes concernées
Le droit d'opposition complète les autres mécanismes de contrôle reconnus par le RGPD. Il peut être exercé indépendamment du droit d'accès prévu à l'article 15, du droit à l'effacement prévu à l'article 17 ou du droit à la limitation prévu à l'article 18.
Il joue également un rôle essentiel dans le cadre des traitements fondés sur l'intérêt légitime, en imposant une évaluation concrète de l'impact du traitement sur la situation de la personne concernée.
Jurisprudence et pratique des autorités de contrôle
Les autorités de contrôle, dont la CNIL, sanctionnent régulièrement les responsables de traitement qui ne respectent pas les demandes d'opposition, notamment en matière de prospection commerciale. Elles rappellent que l'opposition doit être prise en compte sans délai et qu'aucune relance ou sollicitation ne doit intervenir après l'exercice du droit.
La pratique décisionnelle montre également que l'absence de mécanisme simple d'opposition constitue en elle-même un manquement aux obligations prévues par l'article 21, combiné avec l'article 12 du RGPD.
Recommandations de la CNIL et du CEPD
La CNIL recommande aux organisations d'intégrer des mécanismes d'opposition visibles et efficaces dans leurs communications, en particulier dans les courriels et les interfaces numériques. Elle insiste sur la nécessité de distinguer clairement le droit d'opposition des autres informations juridiques fournies à la personne concernée.
Le Comité européen de la protection des données (CEPD) rappelle que le droit d'opposition est un droit fondamental permettant de préserver l'autonomie décisionnelle des personnes concernées face aux traitements fondés sur l'intérêt légitime.
L'article 21 du RGPD consacre le droit d'opposition comme un outil essentiel de protection des personnes à l'égard des traitements de données à caractère personnel. Il permet de contester la poursuite d'un traitement fondé sur l'intérêt légitime ou l'exécution d'une mission d'intérêt public et instaure une protection renforcée en matière de prospection.
Ce droit contribue à l'équilibre entre les intérêts économiques ou institutionnels des responsables de traitement et les droits fondamentaux des personnes concernées. Pour les organisations, il implique la mise en place de procédures claires, de mécanismes d'opposition simples et d'une capacité effective à cesser les traitements contestés. Sa bonne application constitue un marqueur essentiel de conformité et de respect du principe de loyauté dans le traitement des données personnelles.