L'EDPB met à jour son guide One-Stop-Shop : droits d'opposition et d'effacement passés au prisme de centaines de nouvelles décisions

Le 25 juin 2026, l'EDPB a publié une version révisée de son guide thématique One-Stop-Shop (OSS) consacré au droit d'opposition et au droit à l'effacement. Depuis la première publication, les autorités de contrôle ont adopté des centaines de nouvelles décisions OSS. Ce document de référence les intègre et en tire des enseignements opérationnels pour les DPO.

Ce qui s'est passé

Le guide thématique OSS est développé dans le cadre du Support Pool of Experts, un programme de coopération entre autorités de protection des données européennes. Il s'appuie sur les décisions publiées dans le registre public de l'EDPB, fondées sur l'article 60 du RGPD (mécanisme du guichet unique).

Cette mise à jour porte sur deux droits fondamentaux des personnes concernées :

• Le droit d'opposition (art. 21 RGPD) : le droit pour toute personne de s'opposer à un traitement basé sur l'intérêt légitime du responsable de traitement, ou à un traitement à des fins de prospection commerciale.
• Le droit à l'effacement (art. 17 RGPD) : le droit d'obtenir la suppression de ses données personnelles, sous conditions — notamment la suppression d'un compte en ligne ou d'un profil de données.

Le document recense les infractions les plus fréquentes constatées par les autorités de contrôle, et les mesures correctrices prononcées. Exemples couverts : opposition au marketing direct, demandes de suppression de compte ou de profil de données en ligne.

Pourquoi c'est important

Pour les DPO et responsables de conformité, ce guide est une ressource à double tranchant. D'un côté, il offre une cartographie rare des pratiques réelles des autorités : comment les DPA analysent-elles les processus internes d'une organisation pour gérer ces deux droits ? Quels délais et procédures sont attendus ? De l'autre, il expose sans détour les écueils les plus courants, ceux qui ont conduit à des mesures correctrices.

L'enjeu est d'autant plus critique que la gestion des droits des personnes est un terrain de contrôle prioritaire. Une entreprise qui tarde à répondre à une demande d'opposition ou d'effacement, ou qui ne dispose pas d'un processus documenté, s'expose directement à une mise en demeure, voire à une sanction. Pour comprendre l'ensemble des droits auxquels votre organisation doit répondre, le guide Droits RGPD des personnes concernées offre un panorama complet.

La dimension OSS (One-Stop-Shop) est également notable : les décisions analysées impliquent des entreprises traitant à l'échelle européenne et soumises à un chef de file. Le volume de nouvelles décisions depuis la première version du guide illustre l'intensification de l'enforcement transfrontalier.

Ce que ça change pour les organisations

Concrètement, la mise à jour de ce guide doit inciter les responsables conformité à reprendre l'audit de leurs processus de gestion des droits. Voici les priorités :

• Processus de traitement des demandes : le délai de réponse d'un mois (prolongeable à trois) doit être tenu. Documenter chaque étape est indispensable. Le guide Leto sur comment faciliter l'exercice des droits détaille les bonnes pratiques.
• Opposition au marketing direct : un refus d'opposabilité ou un traitement incomplet est l'une des infractions les plus fréquentes relevées par les DPA. Vérifier que vos outils CRM et d'emailing permettent bien de bloquer tout traitement dès réception d'une opposition.
• Effacement effectif : l'effacement ne se limite pas à la désactivation d'un compte. Les données doivent être supprimées des bases actives, des sauvegardes (dans les délais raisonnables) et des sous-traitants concernés.
• Documentation des refus : certaines demandes peuvent être rejetées (exemples : liberté d'expression, obligations légales). Mais chaque refus doit être motivé par écrit, avec la base juridique précise.

Ce que Leto pense de cette décision

La mise à jour du guide OSS sur les droits d'opposition et d'effacement n'est pas un document académique de plus. C'est un signal clair : les autorités de contrôle ont normalisé leur lecture de ces droits à travers des centaines de décisions réelles, et elles attendent désormais que les organisations s'alignent sur ce standard. Pour les DPO, ignorer ce document serait une erreur stratégique. Il constitue, de fait, un étalon de conformité que les autorités utiliseront lors de leurs contrôles.

Leto recommande d'intégrer ce guide dans votre prochaine revue annuelle de conformité, et d'en extraire les infractions les plus fréquentes pour les transformer en points de contrôle dans votre programme de DPO.

Sources : EDPB – One-Stop-Shop case digest on right to object and right to erasure updated