Article 40

Toute personne physique justifiant de son identité peut exiger du responsable d’un traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l’utilisation, la communication ou la conservation est interdite.
 
Lorsque l’intéressé en fait la demande, le responsable du traitement doit justifier, sans frais pour le demandeur, qu’il a procédé aux opérations exigées en vertu de l’alinéa précédent.
 
En cas de contestation, la charge de la preuve incombe au responsable auprès duquel est exercé le droit d’accès sauf lorsqu’il est établi que les données contestées ont été communiquées par l’intéressé ou avec son accord.
 
Lorsqu’il obtient une modification de l’enregistrement, l’intéressé est en droit d’obtenir le remboursement des frais correspondant au coût de la copie mentionnée au I de l’article 39.
 
Si une donnée a été transmise à un tiers, le responsable du traitement doit accomplir les diligences utiles afin de lui notifier les opérations qu’il a effectuées conformément au premier alinéa.
 
Les héritiers d’une personne décédée justifiant de leur identité peuvent, si des éléments portés à leur connaissance leur laissent présumer que les données à caractère personnel la concernant faisant l’objet d’un traitement n’ont pas été actualisées, exiger du responsable de ce traitement qu’il prenne en considération le décès et procède aux mises à jour qui doivent en être la conséquence.
 
Lorsque les héritiers en font la demande, le responsable du traitement doit justifier, sans frais pour le demandeur, qu’il a procédé aux opérations exigées en vertu de l’alinéa précédent.

Ainsi la diffusion sur un site web d’informations sur les personnes nécessite le consentement préalable de celles-ci. Les personnes peuvent, ultérieurement, s’opposer à tout moment à cette diffusion. La recommandation attire l’attention des particuliers sur le fait que les données dites sensibles (par exemple sur la santé ou les orientations sexuelles ou politiques) n’ont pas vocation à être diffusées à partir d’un site internet. La CNIL conseille aux internautes qui créent des sites personnels dans le cadre du cercle familial ou amical de mettre en place un accès restreint. Lorsqu’un particulier ouvre un site destiné à ses proches pour mettre en ligne des photographies d’un événement (mariage, anniversaire, etc.), il devrait, compte tenu de la nature du réseau internet, limiter cette diffusion aux seules personnes concernées. En raison des risques de captation d’images (photographies, vidéo) des mineurs, la recommandation préconise, là encore, la mise en place d’un accès restreint pour ceux des sites qui souhaiteraient diffuser ce type de données. En tout état de cause, la diffusion d’images de mineurs ne peut s’effectuer qu’avec leur accord et l’autorisation expresse des parents ou du responsable légal. En ce qui concerne la collecte de données à caractère personnel, la recommandation rappelle que les personnes auprès desquelles sont recueillies les informations doivent être informées de la finalité de cette collecte, des destinataires des données et de l’existence d’un droit d’accès, de rectification et d’opposition. La durée de conservation doit être proportionnée à l’objet du site et la transmission des données collectées à des tiers ne peut s’effectuer que dans le cadre d’activités privées, après que la personne concernée en a été informée et a été mise en mesure de s’y opposer.