Le RGPD permet de demander la suppression de données personnelles lorsque leur conservation n'est plus justifiée, lorsque vous retirez votre consentement, lorsque vous vous opposez au traitement ou lorsque les données ont été utilisées illicitement. Ce droit n'est pas absolu : un organisme peut conserver certaines données pour respecter une obligation légale (une facture pendant 10 ans, par exemple), défendre ses droits ou préserver la liberté d'expression. Il faut aussi distinguer suppression et déréférencement : le déréférencement empêche un moteur d'associer une page à votre nom, mais ne supprime pas la page du site source. En cas de refus ou d'absence de réponse dans un mois, vous pouvez saisir la CNIL ; pour obtenir des dommages-intérêts, c'est le juge qu'il faut saisir.
Le RGPD (le règlement européen sur la protection des données) vous donne plusieurs droits sur vos données personnelles : y accéder, les rectifier, vous opposer à leur usage, en limiter le traitement, les récupérer (portabilité), ou les supprimer.
La suppression est souvent appelée droit à l’effacement (article 17 du RGPD) ou, dans certains cas, droit à l’oubli. Mais attention : ce droit ne permet pas toujours de tout faire disparaître d’internet. Il faut distinguer la suppression d’une donnée par l’organisme qui la détient, le déréférencement d’un résultat dans un moteur de recherche, la suppression d’un compte, et la suppression d’un contenu publié.
1. Qu’est-ce qu’une donnée personnelle ?
C’est toute information permettant d’identifier, directement ou indirectement, une personne : nom, prénom, adresse, téléphone, email, photo, vidéo, adresse IP, identifiant client, numéro de sécurité sociale, données bancaires ou de santé, localisation, historique d’achat, identifiant de connexion…
Même une information qui ne contient pas votre nom peut être une donnée personnelle si elle permet de vous identifier.
2. Quand peut-on demander la suppression de ses données ?
Vous pouvez le demander notamment lorsque :
- les données ne sont plus nécessaires à l’objectif pour lequel elles ont été collectées ;
- vous retirez votre consentement ;
- vous vous opposez à leur utilisation ;
- les données servent à de la prospection commerciale ;
- les données ont été collectées ou utilisées illégalement ;
- une obligation légale impose leur suppression ;
- les données ont été collectées alors que vous étiez mineur dans le cadre d’un service en ligne (réseau social, forum, appli…).
Exemple : vous fermez un compte créé sur un site. Vous pouvez demander la suppression des données qui ne sont plus nécessaires au service ni à une obligation légale.
3. Le droit à l’effacement est-il automatique ?
Non. L’organisme doit examiner votre demande au cas par cas. Il peut accepter la suppression, totale ou partielle, mais aussi la refuser lorsque les données doivent être conservées :
- pour respecter une obligation légale ;
- pour la liberté d’expression et d’information ;
- pour un motif d’intérêt public ou de santé publique ;
- à des fins d’archives, de recherche ou de statistiques ;
- pour constater, exercer ou défendre des droits en justice.
Exemple : un commerçant doit conserver ses factures plusieurs années (voir point 4), même si vous demandez la suppression de votre compte client.
4. Quelles données peuvent légalement être conservées, et combien de temps ?
C’est un point souvent flou. Voici les durées de conservation les plus fréquentes, fixées par la loi ou recommandées par la CNIL :
- factures et documents comptables : 10 ans (Code de commerce) ;
- documents fiscaux : 6 ans ;
- bulletins de paie : 5 ans côté employeur (le salarié, lui, a intérêt à les garder à vie) ;
- données de prospection commerciale : 3 ans maximum après le dernier contact de votre part (recommandation CNIL) ;
- données utiles à un litige : en général jusqu’à l’expiration des délais de prescription.
Au-delà de la durée d’usage courant, certaines données ne sont pas effacées immédiatement mais placées en archivage intermédiaire : un espace sécurisé à accès restreint, conservé uniquement le temps légal nécessaire. L’organisme doit toujours pouvoir expliquer ce qu’il conserve, pourquoi et pour combien de temps.
5. Quelle différence entre suppression et déréférencement ?
La suppression (effacement) consiste à demander au site ou à l’organisme d’effacer la donnée.
Le déréférencement consiste à demander à un moteur de recherche (Google, Bing…) de ne plus afficher une page lorsqu’on tape vos nom et prénom. Ce droit est né de l’arrêt Google Spain de la Cour de justice de l’UE (2014).
Exemple : un ancien article apparaît quand on tape votre nom. Vous pouvez demander au site de le supprimer ou le modifier, et/ou au moteur de recherche de le déréférencer. Mais si le moteur accepte le déréférencement, l’article peut rester accessible sur le site d’origine ou via d’autres recherches. Le déréférencement masque le lien ; il n’efface pas le contenu.
6. Qui faut-il contacter ?
D’abord, l’organisme qui détient vos données : site internet, entreprise, association, administration, plateforme, réseau social, application, ancien employeur, commerçant en ligne…
Cherchez sur le site : la politique de confidentialité, la rubrique « données personnelles », le contact du DPO (le délégué à la protection des données, chargé de ces questions), un formulaire RGPD, une adresse email dédiée, ou les mentions légales.
7. Comment faire une demande de suppression ?
Par formulaire en ligne, email, courrier, espace client, bouton de suppression de compte, ou auprès du DPO. Votre demande doit être claire et précise : votre identité, les données à supprimer, le motif, le compte ou service concerné, l’email utilisé, les URL si le contenu est en ligne, et les justificatifs utiles.
Évitez les demandes trop générales (« Supprimez tout sur moi »). Préférez : « Je demande la suppression de mon compte client associé à l’adresse [email] et des données qui ne sont plus nécessaires à l’exécution du contrat ou à vos obligations légales. »
Astuce : conservez une preuve de votre demande (capture d’écran, accusé de réception). C’est indispensable si vous devez ensuite saisir la CNIL.
8. Faut-il fournir une pièce d’identité ?
Pas systématiquement. L’organisme peut en demander une uniquement s’il a un doute raisonnable sur votre identité. Il ne peut pas l’exiger de façon excessive ou automatique si votre identité peut être vérifiée autrement.
Si vous envoyez une copie de pièce d’identité, limitez les risques en ajoutant une mention : « Copie transmise uniquement pour l’exercice de mon droit à l’effacement auprès de [organisme], le [date]. »
9. Quel délai pour obtenir une réponse ?
L’organisme doit répondre dans un délai d’un mois. Ce délai peut être prolongé de deux mois supplémentaires (soit trois au total) en cas de demande complexe — mais il doit alors vous informer de cette prolongation dans le premier mois. Il ne peut pas laisser votre demande sans réponse.
10. Supprimer un compte suffit-il à supprimer les données ?
Pas toujours. Fermer un compte empêche l’accès au service, mais certaines données peuvent être conservées pour des raisons légales, techniques ou contractuelles : factures, preuve d’une commande, données anti-fraude, données liées à un contentieux, sauvegardes techniques (purgées dans un délai raisonnable).
Il faut donc demander explicitement la suppression des données personnelles qui ne sont plus nécessaires, et pas seulement la fermeture du compte.
11. Comment demander un déréférencement ?
Si une page vous porte préjudice lorsqu’elle apparaît avec vos nom et prénom, demandez son déréférencement (les moteurs proposent un formulaire dédié). Fournissez : vos nom et prénom, l’URL exacte, les recherches concernées, les raisons, les justificatifs, parfois une pièce d’identité.
Le moteur met en balance votre vie privée et le droit du public à l’information. Un contenu ancien, excessif, inexact ou préjudiciable justifie plus facilement un déréférencement. À l’inverse, une information d’intérêt public sur une personnalité y résistera davantage.
12. Que faire si la donnée concerne un enfant ?
La vigilance est renforcée pour les mineurs. En France, le consentement d’un mineur n’est valable seul qu’à partir de 15 ans ; en dessous, l’accord d’un parent est nécessaire. Les parents peuvent demander la suppression de données concernant leur enfant : photo, vidéo, nom, adresse, information scolaire ou médicale, compte en ligne, contenu publié sur une plateforme.
Agissez rapidement, surtout si le contenu expose l’enfant ou porte atteinte à sa vie privée.
13. Que faire si un ancien employeur conserve mes données ?
Un ancien employeur peut conserver certaines données après la fin du contrat : bulletins de paie (5 ans de son côté), éléments de rémunération, documents sociaux, preuve du contrat, données utiles à sa défense en cas de litige prud’homal. Mais il ne peut pas tout conserver indéfiniment.
Vous pouvez lui demander quelles données sont conservées, pourquoi, pour combien de temps, lesquelles peuvent être supprimées, et qui y a accès.
14. Que faire si un organisme refuse de supprimer les données ?
S’il refuse, il doit expliquer pourquoi (motiver son refus). Vous pouvez alors : demander une réponse écrite, vérifier si le refus est justifié, reformuler votre demande, exercer un autre droit (opposition, rectification), saisir la CNIL, ou saisir le juge si le préjudice est important.
Avant de saisir la CNIL, conservez bien la preuve de votre demande et de la réponse (ou de l’absence de réponse).
15. Quand et comment saisir la CNIL ?
Vous pouvez saisir la CNIL (l’autorité française de protection des données) si l’organisme : ne répond pas dans les délais, refuse sans justification sérieuse, ne supprime pas malgré son accord, continue d’utiliser vos données, exige des justificatifs excessifs, rend l’exercice de vos droits trop compliqué, ou ne respecte pas votre opposition à la prospection.
La plainte se dépose facilement en ligne sur le site de la CNIL. Joignez : votre demande initiale, vos relances, la réponse reçue, les captures d’écran, les URL concernées et les justificatifs.
Bon à savoir : la CNIL peut contrôler et sanctionner l’organisme (les amendes peuvent être très lourdes), mais elle ne vous verse pas de dommages-intérêts. Pour obtenir réparation d’un préjudice, c’est le juge qu’il faut saisir (voir point 16).
16. Peut-on demander des dommages et intérêts ?
Oui. Si l’utilisation ou la conservation illicite de vos données vous cause un préjudice, vous pouvez demander réparation devant le juge (article 82 du RGPD). Exemples : atteinte à la réputation, perte d’opportunité professionnelle, harcèlement, usurpation d’identité, préjudice moral ou financier, maintien en ligne d’informations sensibles.
La demande passe par une action judiciaire, surtout si le dommage est important.
17. Les erreurs à éviter
- demander « la suppression de tout » sans préciser ;
- ne contacter que Google alors que le contenu est sur un site source ;
- oublier de conserver les preuves de sa demande ;
- ne pas indiquer les URL exactes ;
- attendre trop longtemps ;
- envoyer une pièce d’identité sans précaution ;
- confondre suppression du compte et suppression des données ;
- croire que le déréférencement efface le contenu ;
- négliger les exceptions légales ;
- oublier de relancer après un mois.
18. Modèle de demande de suppression de données personnelles
Objet : Demande d’effacement de mes données personnelles
Madame, Monsieur,
Je vous contacte afin d’exercer mon droit à l’effacement de mes données personnelles (article 17 du RGPD).
Je vous demande de supprimer les données me concernant liées à :
- [compte utilisateur / email / commande / formulaire / publication / autre] ;
- [préciser les données] ;
- [indiquer les URL si les données sont en ligne].
Cette demande est fondée sur le fait que :
- les données ne sont plus nécessaires / je retire mon consentement / je m’oppose à leur traitement / elles servent à de la prospection / elles ont été traitées illicitement / autre : [préciser].
Je vous remercie de m’indiquer si certaines données doivent être conservées, pour quelle raison juridique et pendant combien de temps.
Si mes données ont été transmises à des tiers, je vous demande de les informer de ma demande d’effacement lorsque cela est applicable.
Je vous remercie de me répondre dans le délai prévu par le RGPD (un mois).
Veuillez agréer, Madame, Monsieur, l’expression de mes salutations distinguées.
[Nom, prénom] — [email ou identifiant concerné] — [date]
19. Modèle de demande de déréférencement
Objet : Demande de déréférencement d’un résultat associé à mon nom
Madame, Monsieur,
Je vous demande de déréférencer le résultat suivant lorsqu’une recherche est effectuée à partir de mes nom et prénom :
- Nom et prénom concernés : [nom, prénom] ;
- URL du résultat : [lien exact] ;
- Recherche concernée : [nom + prénom] ;
- Motif : [contenu ancien, inexact, excessif, préjudiciable, atteinte à la vie privée, etc.].
Ce résultat me cause un préjudice car [expliquer simplement].
Je vous remercie d’examiner ma demande et de m’informer de votre décision.
Veuillez agréer, Madame, Monsieur, l’expression de mes salutations distinguées.
[Nom, prénom] — [date]
Questions fréquentes
Le droit à l’oubli permet-il de tout supprimer d’internet ? Non. Il permet de demander l’effacement ou le déréférencement sous conditions, mais il existe des exceptions.
Quelle différence entre effacement et déréférencement ? L’effacement supprime la donnée chez l’organisme. Le déréférencement supprime seulement le lien entre une page et votre nom dans les résultats de recherche — la page reste en ligne.
Quel est le délai de réponse ? Un mois, prolongeable à trois mois en cas de demande complexe (avec information dans le premier mois).
Un site peut-il refuser de supprimer mes données ? Oui, dans certains cas (obligation légale de conservation, liberté d’expression, défense de droits en justice).
Puis-je faire supprimer une facture ? Pas avant l’expiration du délai légal : les factures se conservent 10 ans.
Puis-je demander la suppression de mes données utilisées pour la publicité ? Oui. Les données de prospection peuvent faire l’objet d’une opposition ou d’un effacement, et ne peuvent de toute façon être conservées plus de 3 ans après votre dernier contact.
Que faire si l’organisme ne répond pas ? Relancez par écrit, conservez les preuves, puis saisissez la CNIL en ligne si nécessaire.
À retenir
- Une donnée personnelle est toute information permettant de vous identifier.
- Le droit à l’effacement (article 17 du RGPD) n’est pas absolu.
- Certaines données doivent être conservées : factures 10 ans, bulletins de paie 5 ans, prospection 3 ans maximum.
- Supprimer un compte ne supprime pas toujours toutes les données : demandez-le explicitement.
- Le déréférencement ne supprime pas le contenu du site source.
- L’organisme doit répondre dans un mois (prolongeable à trois).
- Conservez toujours la preuve de votre demande.
- En cas de blocage, saisissez la CNIL (en ligne) ; pour une indemnisation, saisissez le juge.
