En bref. Lorsque le RGPD s’applique, l’article 16 prévoit un droit de rectification des données personnelles inexactes et impose au responsable du traitement de faciliter les demandes et d’y répondre.

Définition : Oui. Lorsque le règlement général sur la protection des données (RGPD) s’applique, son article 16 donne à toute personne le droit d’obtenir, dans les meilleurs délais, la rectification des données personnelles inexactes la concernant. Une demande portant sur une réponse d’IA relève de ce droit lorsque le traitement en cause porte sur les données personnelles de cette personne.

Points clés

L’article 16 du RGPD, reproduit dans le texte du chapitre III publié par la CNIL, prévoit aussi que les données personnelles incomplètes soient complétées, compte tenu des finalités du traitement.
Le Comité européen de la protection des données (CEPD, EDPB en anglais) indique dans son rapport du groupe de travail sur ChatGPT, daté du 23 mai 2024, que l’impossibilité technique ne peut justifier le non-respect des exigences du RGPD.
Le guide du CEPD sur les droits des personnes explique que les responsables du traitement doivent faciliter les demandes et y répondre dans un délai d’un mois, avec une prolongation possible sous certaines conditions.

Quelles informations et quelle organisation ce droit concerne-t-il ?

Les données personnelles sont des informations se rapportant à une personne physique identifiée ou identifiable. Le responsable du traitement est la personne ou l’organisation qui détermine les finalités et les moyens du traitement. L’article 4 du RGPD définit ces deux termes dans la reproduction du chapitre I publiée par la CNIL. Ces définitions permettent d’adresser la demande au responsable du traitement en cause.

Selon l’article 16 du chapitre III, la rectification porte sur les données personnelles inexactes concernant la personne qui formule la demande. Les données incomplètes peuvent être complétées, y compris au moyen d’une déclaration complémentaire, compte tenu des finalités. L’article 15 prévoit aussi l’accès aux données personnelles et, lorsqu’elles ont été collectées ailleurs, aux informations disponibles sur leur source.

Comment les orientations du CEPD s’appliquent-elles aux réponses d’IA ?

Le rapport du groupe de travail du CEPD sur ChatGPT présente des positions préliminaires sur les enquêtes qu’il décrit. Sa section sur l’exactitude des données distingue les données d’entrée, dont les informations collectées sur des sites web, des résultats produits lors des interactions avec ChatGPT.

Le rapport indique que le principe d’exactitude s’applique aux données personnelles même si le système peut produire des réponses inventées. Il précise aussi que les avertissements sur la fiabilité des réponses ne suffisent pas à respecter ce principe. Sa section sur les droits préconise des modalités facilement accessibles pour les exercer, et son analyse de l’article 25 rattache la conformité à la protection des données dès la conception.

Le rapport laisse aux autorités de contrôle l’appréciation de chaque enquête. Une demande particulière exige donc d’examiner le traitement en cause et les mesures nécessaires au respect des obligations applicables.

Que doit faire le responsable du traitement après réception d’une demande ?

L’article 12(3) du RGPD, reproduit au chapitre III, impose d’informer la personne des mesures prises dans les meilleurs délais et dans un délai d’un mois à compter de la réception. Si la complexité et le nombre de demandes le nécessitent, ce délai peut être prolongé de deux mois supplémentaires. Le responsable du traitement doit expliquer cette prolongation dans le délai initial d’un mois.

L’article 18(1)(a) donne à la personne qui conteste l’exactitude des données le droit d’obtenir la limitation du traitement pendant leur vérification par le responsable du traitement. La limitation restreint le traitement ; l’article 18(2) autorise la conservation et précise les conditions des autres utilisations. Selon l’article 19, le responsable du traitement doit notifier la rectification ou la limitation aux destinataires des données, sauf si cela s’avère impossible ou exige des efforts disproportionnés.

Le guide du CEPD sur les droits recommande de consigner les demandes, les réponses et les motifs des refus d’y donner suite. Il explique aussi que des informations supplémentaires permettant de confirmer l’identité peuvent être demandées en cas de doutes raisonnables sur l’identité du demandeur.

Termes associés

Questions fréquentes

Comment formuler une demande de rectification ?

Vous pouvez structurer votre demande autour des données inexactes et de la rectification ou du complément souhaité au titre de l’article 16 du RGPD. Le modèle proposé reprend ces éléments :

Je demande une rectification au titre de l’article 16 du RGPD.
Données personnelles inexactes me concernant : [énoncé]
Rectification demandée : [informations exactes]
Si les données sont incomplètes, complément demandé : [déclaration complémentaire]

Que faire si le responsable du traitement refuse de donner suite ?

Selon l’article 12(4), le responsable du traitement doit expliquer ses motifs sans tarder et dans un délai d’un mois, et vous informer des possibilités de réclamation et de recours juridictionnel. Le guide du CEPD sur les droits désigne l’autorité nationale de protection des données comme destinataire de la réclamation.

Sources

Vérifiez comment une page se lit pour les moteurs de réponse. Ouvrir l’analyseur de score GEO

Une personne peut-elle demander la rectification de données personnelles inexactes dans une réponse d’IA ?