Droit à l'effacement RGPD : comment faire supprimer ses données personnelles d'un site

Un ancien compte sur un site de rencontre, une boutique en ligne qui continue d'écrire des mois après un unique achat, un annuaire qui affiche votre adresse : les données personnelles s'éparpillent vite, et rarement avec notre accord réfléchi. Le règlement général sur la protection des données (RGPD) donne pourtant à chacun un outil puissant et gratuit, le droit à l'effacement, souvent appelé droit à l'oubli. Encore faut-il savoir à qui écrire, quoi demander, dans quels cas l'entreprise peut refuser et comment réagir quand elle ne répond pas.

Ce que couvre le droit à l'effacement, et ses limites

Prévu par l'article 17 du RGPD, ce droit permet d'obtenir d'un organisme qu'il supprime les données qui vous concernent, dans plusieurs situations :

• les données ne sont plus nécessaires au but pour lequel elles avaient été collectées (compte inactif, commande livrée depuis longtemps) ;
• vous retirez votre consentement, lorsque le traitement reposait sur lui (newsletter, profilage publicitaire) ;
• vous vous opposez au traitement, en particulier à la prospection commerciale, pour laquelle l'opposition est absolue ;
• les données ont été traitées illicitement, ou collectées lorsque vous étiez mineur dans le cadre d'un service en ligne.

Le droit n'est pas pour autant illimité. L'organisme peut conserver certaines données lorsqu'il a une bonne raison de le faire.

Motif de refus possible	Exemple concret	Ce que vous pouvez obtenir malgré tout
Obligation légale de conservation	Factures conservées dix ans pour la comptabilité	Suppression du compte client, des données marketing et de l'historique de navigation
Liberté d'expression et d'information	Article de presse vous citant nommément	Déréférencement du lien sur les moteurs, sous conditions
Défense de droits en justice	Litige en cours avec l'entreprise	Limitation du traitement à ce seul usage
Intérêt public, santé publique, archives	Données de santé dans un registre officiel	Accès et rectification

À qui écrire et comment formuler la demande

La demande s'adresse au responsable du traitement, c'est-à-dire l'organisme qui détient vos données. Son contact figure dans sa politique de confidentialité : une adresse dédiée, un formulaire, ou les coordonnées de son délégué à la protection des données (DPO). À défaut, un courrier au siège social suffit. Aucun formalisme n'est imposé, mais une demande claire accélère le traitement.

1. Identifiez-vous précisément : nom, adresse e-mail du compte, identifiant client ou numéro de commande, pour que l'organisme retrouve vos données sans ambiguïté.
2. Citez le fondement : une demande d'effacement au titre de l'article 17 du RGPD, en précisant le motif (retrait du consentement, données plus nécessaires, opposition).
3. Précisez le périmètre : l'ensemble de vos données, y compris celles transmises à des partenaires, avec demande de notification aux destinataires.
4. Demandez une confirmation écrite de l'effacement et, le cas échéant, la liste motivée des données conservées.
5. Gardez une preuve d'envoi : capture du formulaire, e-mail archivé ou lettre recommandée. Elle sera indispensable en cas de plainte.

Les délais : un mois, trois au maximum

1 mois délai de réponse à compter de la réception de la demande, prolongeable de deux mois si elle est complexe ou si les demandes sont nombreuses

Si l'organisme prolonge le délai, il doit vous en informer, avec les raisons, dans le premier mois. La démarche est gratuite : des frais ne peuvent être réclamés que pour des demandes manifestement infondées ou excessives, par exemple répétées sans raison. Un organisme qui refuse doit motiver sa décision et vous indiquer que vous pouvez saisir la CNIL.

Le cas particulier des données collectées pendant la minorité

Pour les données collectées par un service en ligne alors que vous étiez mineur, la loi Informatique et Libertés prévoit une procédure renforcée : l'effacement doit intervenir dans les meilleurs délais, et en l'absence de réponse ou en cas de refus, la CNIL saisie doit se prononcer dans un délai de trois semaines. Un levier précieux pour faire disparaître des publications ou des comptes de jeunesse.

Pas de réponse ou refus injustifié : saisir la CNIL

Passé le délai, ou face à un refus que vous jugez infondé, la plainte en ligne auprès de la CNIL est la voie normale. Elle suppose d'avoir d'abord exercé votre droit auprès de l'organisme : joignez donc votre demande initiale, la preuve d'envoi et la réponse éventuelle. La CNIL peut intervenir auprès de l'organisme, et ses contrôles peuvent déboucher sur des mises en demeure ou des sanctions.

Si vos données servent à ouvrir des comptes ou à contracter en votre nom, le problème dépasse le RGPD : il s'agit d'usurpation, un délit pénal. Notre guide sur l'usurpation d'identité en ligne détaille la plainte et les démarches auprès des services concernés.

Effacement et déréférencement : deux démarches distinctes

Faire supprimer une donnée d'un site et la faire disparaître des résultats de recherche sont deux choses différentes. Depuis l'arrêt Google Spain de la Cour de justice de l'Union européenne, en 2014, les moteurs de recherche doivent examiner les demandes de déréférencement : retirer un lien des résultats obtenus en tapant votre nom, sans supprimer la page elle-même.

Le moteur met en balance votre vie privée et l'intérêt du public à accéder à l'information : une ancienne condamnation effacée, une adresse personnelle ou un contenu obsolète ont de bonnes chances d'être retirés ; une information récente sur une personnalité publique, beaucoup moins. Chaque grand moteur propose un formulaire dédié, et un refus peut, là aussi, être contesté devant la CNIL. Pour les images publiées sans votre accord sur les réseaux sociaux, les outils de signalement des plateformes sont souvent plus rapides, comme nous l'expliquons dans notre dossier sur la protection de vos photos sur Instagram.

Réduire son empreinte en amont : les bons réflexes

La meilleure donnée à effacer reste celle qu'on n'a jamais transmise. Quelques habitudes réduisent durablement la surface d'exposition :

• Refuser les traceurs non essentiels : le bouton refuser doit être aussi simple que le bouton accepter, une exigence rappelée dans notre article sur les bandeaux cookies conformes.
• Acheter en invité quand le site le permet, plutôt que de créer un compte pour une commande unique.
• Utiliser des alias e-mail par service : en cas de fuite ou de sollicitations abusives, on identifie la source et on coupe l'alias.
• Faire le ménage une fois par an : fermer les comptes inutilisés plutôt que de les laisser dormir, car un compte oublié est aussi un compte que l'on ne surveille plus.