La suppression des traces numériques passées est devenue un enjeu central de la vie privée et de la protection des données en ligne. Les organisations doivent concilier obligations légales et attentes individuelles pour garantir un effacement réellement effectif.
Les demandes d’effacement mettent en jeu la gestion des informations et l’identité numérique des personnes concernées, souvent sur internet. La section suivante présente les éléments essentiels à retenir avant d’examiner le cadre légal.
A retenir :
- Droit à l’effacement applicable dans plusieurs situations précises
- Délai de réponse d’un mois, prolongation exceptionnelle possible
- Six motifs d’effacement identifiés par l’article 17 du RGPD
- Effacement effectif requis sur bases et auprès des sous-traitants
Cadre légal du droit à l’effacement (article 17 RGPD)
Face aux enjeux de confidentialité et d’identité numérique, le cadre légal précise les obligations du responsable de traitement. L’article 17 du RGPD consacre le droit à l’effacement et définit des motifs limitatifs pour l’exiger. Selon la CJUE, la mise en balance avec la liberté d’information impose une appréciation au cas par cas.
Motifs d’effacement visés :
- Données devenues non nécessaires au regard des finalités
- Retrait du consentement sans autre base légale
- Opposition fondée sans motif légitime impérieux
- Traitement illicite
- Nécessité pour respecter une obligation légale
- Données d’un mineur recueillies via services en ligne
Motif d’effacement
Référence RGPD
Données non nécessaires
Art. 17(1)(a)
Retrait du consentement
Art. 17(1)(b)
Opposition justifiée
Art. 17(1)(c)
Traitement illicite
Art. 17(1)(d)
Respect d’une obligation légale
Art. 17(1)(e)
Données d’un mineur
Art. 17(1)(f) et Art.8
Conditions d’application de l’article 17
Ce paragraphe précise comment les conditions se vérifient dans la pratique quotidienne des services en ligne. Il faut identifier la finalité initiale, la base juridique et l’existence d’une autre base pour poursuivre le traitement. Selon la CNIL, 37 % des plaintes reçues en 2024 portaient sur le droit à l’effacement, ce qui souligne l’urgence de procédures claires.
« J’ai demandé la suppression d’une photo et le site m’a répondu par une simple désactivation, sans effacement réel »
Claire D.
Obligations en cas de données rendues publiques
Ce point traite des obligations supplémentaires lorsque les données ont été rendues publiques par le responsable. Le responsable doit prendre des mesures raisonnables pour informer d’autres entités qui traitent ces données. Selon le RGPD, cela concerne notamment les moteurs de recherche et les plateformes d’indexation, qu’il faut solliciter pour limiter la réapparition.
Procédure pratique pour l’effacement des données personnelles
Conséquence directe du cadre légal, la procédure opérationnelle doit définir étapes, responsabilités et preuves de suppression. Un processus documenté permet de respecter le délai d’un mois et d’expliquer toute prolongation de deux mois. Selon le CEPD, beaucoup d’organismes n’avaient pas encore formalisé ces procédures lors des contrôles coordonnés de 2025.
Étapes opérationnelles claires :
- Vérification d’identité du demandeur sans systématiser la pièce
- Analyse du fondement juridique et motif retenu
- Vérification des exceptions prévues à l’article 17(3)
- Effacement effectif sur bases, sauvegardes et sous-traitants
Procédure interne et rôles
Ce point décrit la répartition des responsabilités dans l’organisation pour traiter chaque demande d’effacement. Il est recommandé de désigner un point de contact, souvent le DPO, et de tenir un registre des demandes pour assurer traçabilité. Selon la CNIL, l’absence de suivi formalisé est une cause fréquente de non-conformité.
« En tant que DPO, structurer les demandes a réduit significativement les retards et les erreurs d’effacement »
Marc L.
Délai, contrôle et sanctions possibles
Ce sous-chapitre précise les délais et les conséquences en cas de manquement aux obligations prévues par le RGPD. La réponse doit intervenir en un mois, avec une possible prolongation de deux mois pour complexité ou nombre élevé de demandes. Les sanctions peuvent atteindre vingt millions d’euros ou quatre pour cent du chiffre d’affaires annuel mondial.
Élément
Conséquence pratique
Référence
Délai de réponse standard
1 mois
Art. 12(3) RGPD
Prolongation possible
+2 mois avec information motivée
Art. 12(3) RGPD
Sanction maximale
20 millions d’euros ou 4% du CA mondial
Art. 83(5)(b) RGPD
Proportion de plaintes CNIL
37 % en 2024
Rapport CNIL 2024
Mise en œuvre technique et gouvernance pour l’effacement effectif
Conséquence des procédures, la mise en œuvre technique conditionne la réussite de l’effacement sur l’ensemble des supports. Il faut cartographier les flux de données, gérer les sauvegardes et contractualiser les obligations avec les sous-traitants. Selon le CEPD, l’effacement factice ou l’archivage déguisé reste un problème fréquent lors des contrôles.
Bonnes pratiques techniques :
- Cartographie précise des données sensibles et points de stockage
- Outils d’automatisation pour suivre et tracer chaque demande
- Procédures de répercussion auprès des sous-traitants contractuelles
- Tests réguliers d’effacement et audits internes documentés
Techniques d’effacement et limites pratiques
Ce paragraphe détaille les méthodes techniques et leurs limites réelles pour supprimer les données personnelles. L’effacement doit couvrir bases actives, indexations et sauvegardes, ou prévoir une suppression lors de la prochaine rotation si la suppression immédiate est disproportionnée. Les prestataires doivent intégrer ces obligations dans les clauses relatives à l’article 28.
« Notre équipe a automatisé les notifications aux hébergeurs, ce qui a amélioré la réactivité face aux requêtes »
Sophie P.
Gouvernance, formation et contrôles internes
Ce segment insiste sur les éléments de gouvernance nécessaires pour respecter le droit à l’effacement sur le long terme. Il faut former les équipes, documenter les décisions et prévoir des audits réguliers pour vérifier l’efficacité des processus. Un registre des demandes rend les contrôles externes plus fluides et facilite la justification en cas de saisie de la CNIL.
« L’absence d’une politique claire expose l’organisation à des risques juridiques et réputationnels importants »
Antoine R.
Source : CNIL, « Rapport d’activité 2024 », CNIL, 2024 ; Comité européen de la protection des données, « Action coordonnée 2025 », CEPD, 2025 ; Cour de justice de l’Union européenne, « Affaire C-131/12 Google Spain », CJUE, 2014.
