Blog

Droit d'opposition RGPD (article 21) : quand un client peut-il refuser le traitement de ses donnees ?

Publie le 10/10/2026 · Temps de lecture : 10 min

« Je ne souhaite plus recevoir vos offres, et je demande que vous arretiez de traiter mes donnees pour cet usage. » Cette phrase, de plus en plus frequente dans les boites mail des TPE et PME, declenche une obligation precise du RGPD : le droit d'opposition, prevu a l'article 21. Souvent confondu avec le retrait de consentement ou le droit a l'effacement, ce droit obeit a ses propres regles, et il en existe en realite deux versions tres differentes selon le traitement concerne.

Ce guide detaille ce que l'article 21 du RGPD impose concretement, la difference entre une opposition « simple » et une opposition a la prospection commerciale, et la procedure a suivre pour y repondre sans erreur.

Sommaire

• 1. Le droit d'opposition, article 21 du RGPD
• 2. Deux regimes bien distincts selon le traitement
• 3. Opposition, retrait du consentement, effacement : ne pas confondre
• 4. Le profilage marketing est explicitement concerne
• 5. Le delai de reponse : immediat pour la prospection, un mois sinon
• 6. L'obligation d'informer du droit d'opposition
• 7. La procedure concrete pour une TPE ou une PME
• 8. Ce que risque une entreprise qui l'ignore
• Questions frequentes

1. Le droit d'opposition, article 21 du RGPD

Le droit d'opposition permet a toute personne de demander l'arret d'un traitement de ses donnees personnelles, pour des raisons tenant a sa situation particuliere, ou de maniere absolue lorsqu'il s'agit de prospection commerciale. Il est encadre par l'article 21 du RGPD, qui s'articule en plusieurs paragraphes aux portees tres differentes : le paragraphe 1 pose un droit conditionnel, le paragraphe 2 pose un droit absolu propre a la prospection.

Contrairement au droit a l'effacement (article 17) ou au droit d'acces (article 15), le droit d'opposition ne porte pas sur l'ensemble des donnees detenues par une entreprise : il vise un traitement precis, identifie par la personne qui s'oppose. Un client peut par exemple s'opposer a recevoir des offres commerciales tout en continuant a utiliser son compte client pour passer des commandes.

2. Deux regimes bien distincts selon le traitement

C'est le point le plus souvent mal compris par les TPE et PME : l'article 21 du RGPD ne definit pas un seul droit d'opposition, mais deux, avec des consequences pratiques tres differentes.

• L'opposition « simple » (article 21.1). Elle s'applique aux traitements fondes sur l'interet legitime de l'entreprise ou sur une mission d'interet public (article 6.1.e et 6.1.f du RGPD) : par exemple, l'analyse statistique de l'usage d'un service pour l'ameliorer. Le client doit alors indiquer des raisons tenant a sa situation particuliere. L'entreprise peut refuser si elle demontre des motifs legitimes et imperieux qui prevalent sur les interets, droits et libertes de la personne, ou si le traitement est necessaire a la constatation, l'exercice ou la defense de droits en justice.
• L'opposition absolue a la prospection (article 21.2 et 21.3). Des qu'un traitement poursuit une finalite de prospection commerciale, la personne peut s'y opposer a tout moment, sans justification, et l'entreprise doit cesser le traitement des donnees a cette fin, sans exception ni mise en balance d'interets. C'est le regime le plus protecteur du RGPD, et le plus simple a faire respecter : il ne laisse aucune marge d'appreciation a l'entreprise.

En pratique, l'immense majorite des oppositions recues par une TPE ou une PME relevent du second cas : un destinataire de newsletter ou d'offres commerciales qui ne souhaite plus en recevoir. Le premier cas, plus rare, concerne surtout des traitements plus techniques comme le scoring ou l'analyse comportementale fondee sur l'interet legitime.

3. Opposition, retrait du consentement, effacement : ne pas confondre

Trois mecanismes du RGPD aboutissent au meme resultat pratique (arreter un traitement), mais reposent sur des bases legales et des conditions differentes :

• le retrait du consentement (article 7.3) ne concerne que les traitements fondes sur le consentement explicite de la personne (une case cochee lors de l'inscription a une newsletter, par exemple) ;
• le droit d'opposition (article 21) concerne les traitements fondes sur l'interet legitime, une mission d'interet public, ou la prospection commerciale, qu'elle repose ou non sur un consentement initial ;
• le droit a l'effacement (article 17) va plus loin : il porte sur la suppression des donnees elles-memes, pas seulement sur l'arret d'un usage particulier, et peut d'ailleurs etre invoque en consequence d'une opposition reussie.

Pour une TPE ou une PME qui utilise a la fois une base de prospects ayant coche une case de consentement et une base de clients contactes sur la base de l'interet legitime (achat recent, par exemple), il est essentiel de savoir sur quelle base legale repose chaque traitement avant de repondre a une demande : c'est l'un des interets d'un registre des traitements a jour, comme celui que ConformiteFacile aide a construire.

4. Le profilage marketing est explicitement concerne

L'article 21.2 du RGPD precise que le droit d'opposition a la prospection commerciale « s'applique... y compris le profilage dans la mesure ou il est lie a une telle prospection ». Concretement, un client qui s'oppose a recevoir des emails commerciaux peut aussi demander a ne plus etre inclus dans les segments ou categories utilises pour cibler des offres (historique d'achat, tranche d'age, zone geographique, score d'appetence).

Cela a une consequence operationnelle directe pour les entreprises qui utilisent un CRM ou un outil d'emailing avec segmentation automatique : il ne suffit pas de retirer un contact des listes d'envoi, il faut aussi s'assurer qu'il ne reste pas inclus dans un segment qui continuerait a alimenter, par exemple, une publicite ciblee sur les reseaux sociaux a partir de la meme base de donnees.

5. Le delai de reponse : immediat pour la prospection, un mois sinon

Le RGPD traite differemment les deux regimes sur la question du delai. Pour une opposition relevant de l'article 21.1, le delai general de l'article 12.3 s'applique : un mois a compter de la reception de la demande, prolongeable de deux mois pour une demande complexe, a condition d'en informer la personne dans le premier mois.

Pour une opposition a la prospection commerciale, le texte ne fixe pas de delai chiffre, mais impose que le traitement cesse des la reception de la demande : il n'y a pas de periode de tolerance pendant laquelle l'entreprise pourrait continuer a envoyer des communications en attendant de traiter la demande. En pratique, chaque envoi effectue apres la date de la demande constitue un manquement distinct, meme si le reste du dossier est traite dans le mois suivant.

6. L'obligation d'informer du droit d'opposition

L'article 21.4 du RGPD impose d'informer explicitement la personne de son droit d'opposition « au plus tard lors de la premiere communication », de maniere distincte de toute autre information, et dans une forme claire et intelligible. Cette information doit figurer dans la politique de confidentialite (articles 13.2.b et 14.2.c du RGPD) mais aussi, en pratique, dans chaque email de prospection : c'est l'un des roles du lien de desinscription, obligatoire par ailleurs au titre de l'article L34-5 du Code des postes et des communications electroniques pour la prospection par email.

Une entreprise qui ne mentionne pas ce droit, ou qui le rend difficile a exercer (lien de desinscription casse, formulaire de contact impose a la place d'un simple clic), s'expose a un manquement independant de la question de savoir si elle respecte effectivement les oppositions recues.

7. La procedure concrete pour une TPE ou une PME

Pour traiter une opposition sans se tromper, trois etapes suffisent dans la grande majorite des cas :

• Identifier la base legale du traitement vise. S'agit-il de prospection commerciale (opposition absolue), ou d'un traitement fonde sur l'interet legitime (opposition qui admet une mise en balance) ? Cette qualification determine si l'entreprise peut examiner la demande ou doit l'executer immediatement.
• Faire cesser le traitement dans tous les outils concernes. Liste d'emailing principale, mais aussi listes secondaires, segments de profilage, audiences publicitaires exportees vers des plateformes tierces (reseaux sociaux, outils de retargeting) : une opposition mal propagee dans l'ecosysteme d'outils d'une entreprise reste un manquement meme si la liste principale a bien ete mise a jour.
• Confirmer par ecrit et conserver une preuve. Un email de confirmation, avec la date de la demande et la date d'execution, permet de demontrer en cas de controle que la demande a ete traitee rapidement.

Le cas le plus delicat reste celui ou une meme personne figure dans plusieurs fichiers a des titres differents : client actif dont les donnees de facturation doivent etre conservees, et destinataire d'une newsletter a laquelle il s'oppose. L'opposition ne porte alors que sur le second usage, pas sur le premier.

8. Ce que risque une entreprise qui l'ignore

Par une deliberation SAN-2022-021 du 24 novembre 2022, la CNIL a sanctionne EDF a hauteur de 600 000 euros, pour plusieurs manquements au RGPD. Parmi les griefs retenus figurait le non-respect du droit d'opposition a la prospection commerciale ainsi que des retards dans le traitement des demandes d'acces et d'opposition formulees par des clients. La decision illustre que le droit d'opposition n'est pas une formalite secondaire : il fait partie des points de controle effectifs de la CNIL.

Pour une TPE ou une PME, le risque concret n'est pas une amende de cette ampleur mais une plainte individuelle deposee auprès de la CNIL par un client qui continue a recevoir des communications apres s'y etre oppose : ce type de plainte, facile a documenter (captures d'ecran d'emails recus apres la demande), aboutit frequemment a une mise en demeure.

Le droit d'opposition a la prospection commerciale est etroitement lie aux regles d'envoi d'emails : pour aller plus loin sur les conditions de consentement prealable en B2C comme en B2B, notre article sur l'e-mailing et le RGPD detaille les regles d'opt-in applicables avant meme d'envoyer la premiere communication.

Questions frequentes

A lire aussi

Droits des personnes

Droit a l'effacement (droit a l'oubli) RGPD : que faire quand un client demande la suppression de ses donnees

Lire

Droits des personnes

Droit a la portabilite des donnees : ce que le RGPD permet reellement de recuperer

Lire

Droits des personnes

Droit d'acces RGPD : le delai legal pour repondre a une demande et comment ne pas le rater

Lire