L’article 17 du RGPD, ou droit à l’effacement, permet à une personne d’obtenir la suppression de ses données dans six cas, notamment lorsqu’elles ne sont plus nécessaires, lorsqu’elle retire son consentement ou s’oppose au traitement, ou lorsque le traitement est illicite. Le droit n’est pas absolu : l’entreprise peut refuser si elle doit conserver les données pour respecter une obligation légale, pour exercer ou défendre un droit en justice, ou pour la liberté d’expression. Elle répond dans un mois, en motivant tout refus.
L’essentiel
- Six motifs d’effacement, cinq exceptions ; les plus fréquentes en entreprise : l’obligation comptable (factures conservées 10 ans) et le contentieux en cours.
- Le « droit à l’oubli » n’oblige pas à tout supprimer : les données nécessaires à une obligation légale passent en archivage à accès restreint.
- Si les données ont été rendues publiques ou transmises à des tiers, l’entreprise informe ces destinataires de la demande.
- L’effacement doit aussi atteindre les sauvegardes et les prestataires, selon un calendrier raisonnable documenté.
Ce que dit l’article 17
| Paragraphe | Ce que dit le texte |
|---|---|
| 17.1 – Motifs | Effacement sans délai injustifié lorsque : (a) les données ne sont plus nécessaires aux finalités ; (b) la personne retire son consentement et aucune autre base n’existe ; (c) elle s’oppose au traitement et aucun motif légitime impérieux ne prévaut, ou s’oppose à la prospection ; (d) le traitement est illicite ; (e) une obligation légale impose l’effacement ; (f) les données ont été collectées auprès d’un enfant pour un service en ligne. |
| 17.2 – Données rendues publiques | Le responsable qui a rendu les données publiques prend des mesures raisonnables pour informer les autres responsables de la demande d’effacement des liens et copies. |
| 17.3 – Exceptions | Le droit ne s’applique pas lorsque le traitement est nécessaire : à la liberté d’expression et d’information ; au respect d’une obligation légale ou à une mission d’intérêt public ; à des motifs de santé publique ; à des fins d’archivage, de recherche ou de statistiques ; à la constatation, l’exercice ou la défense de droits en justice. |
Ce que cela change pour une PME
Distinguer ce qui s’efface de ce qui s’archive
Un client qui demande l’effacement de son compte obtient la suppression de ses données marketing, de son profil et de son historique de navigation, mais ses factures restent conservées 10 ans au titre du Code de commerce, dans une base d’archivage à accès restreint. La réponse l’explique : ce qui est supprimé, ce qui est conservé, pourquoi et jusqu’à quand.
Vérifier la base légale avant de répondre
Si le traitement reposait sur le contrat ou sur une obligation légale, le retrait du consentement n’ouvre pas droit à l’effacement ; si la personne s’oppose à de la prospection, l’effacement des données marketing est de droit, sans condition. La colonne « base légale » du registre donne la réponse ; l’article 6 en explique la logique.
Propager l’effacement
Le CRM, l’outil d’e-mailing, le logiciel de facturation (hors archivage), le support client, les prestataires qui détiennent une copie : chacun est listé au registre et reçoit l’instruction. Les sauvegardes se traitent selon un cycle documenté (par exemple, écrasement à la prochaine rotation sous 30 jours), ce que la CNIL admet si la personne en est informée.
Répondre même en cas de refus
Un refus fondé sur une exception se motive par écrit, précise les données concernées et la durée de conservation restante, et rappelle le droit de saisir la CNIL. Le silence est le manquement le plus simple à constater.
Anticiper par les durées de conservation
Une entreprise qui applique ses durées de conservation reçoit peu de demandes d’effacement : les données sont déjà parties. C’est le lien direct avec le principe de limitation de la conservation de l’article 5.
Ce que la CNIL a sanctionné sur ce fondement
| Décision | Montant | Manquement retenu |
|---|---|---|
| Free Mobile, 28 décembre 2022 | 300 000 euros (toutes causes) | Demandes d’opposition à la prospection non prises en compte dans le délai, données des personnes concernées encore traitées après leur demande. |
| Discord, 10 novembre 2022 | 800 000 euros (toutes causes) | Absence de politique d’effacement des comptes inactifs : 2,5 millions de comptes inactifs depuis plus de trois ans et 58 000 depuis plus de cinq ans conservés sans durée définie. |
| Doctissimo, 11 mai 2023 | 380 000 euros (toutes causes) | Comptes inactifs depuis trois ans conservés sans effacement ni anonymisation ; procédé d’anonymisation jugé insuffisant. |
Dans ces décisions, la CNIL sanctionne autant l’absence de réponse aux demandes individuelles que l’absence d’effacement automatique des données devenues inutiles : les deux relèvent du même principe.
Les questions que je pose en audit
- Que se passe-t-il, outil par outil, quand un client demande la suppression de ses données ?
- Savez-vous distinguer, pour chaque traitement, ce qui doit être supprimé et ce qui doit être archivé, et pour combien de temps ?
- Vos comptes clients inactifs depuis plus de trois ans existent-ils encore ?
- Votre archivage comptable est-il séparé de la base active, avec des accès restreints ?
- Comment transmettez-vous une demande d’effacement à vos prestataires ?
- Vos sauvegardes sont-elles écrasées selon un cycle connu, et la personne en est-elle informée ?
- Avez-vous déjà refusé une demande d’effacement, et comment l’avez-vous motivé ?
Prêt à l’emploi : la réponse à une demande d’effacement
Réponse favorable avec archivage partiel : « Suite à votre demande du [date], nous avons supprimé vos données de [outils : compte client, CRM, liste de diffusion] le [date]. Vos données sont également supprimées chez nos prestataires sous [délai] et de nos sauvegardes lors de leur prochain cycle, au plus tard le [date]. Nous conservons uniquement vos factures et les documents comptables associés pendant 10 ans, comme l’exige le Code de commerce, dans une base d’archivage à accès restreint ; ils ne sont plus utilisés à d’autres fins. »
Refus motivé : « Nous ne pouvons pas donner suite à votre demande d’effacement concernant [données], car leur conservation est nécessaire à [obligation légale précise / procédure en cours]. Elles seront supprimées le [date] à l’issue de cette période. Les autres données vous concernant ont été supprimées. Vous pouvez introduire une réclamation auprès de la CNIL. »
Et en Suisse ?
La nLPD ne consacre pas de droit à l’effacement sous ce nom, mais la personne peut exiger la suppression ou la destruction de données traitées en violation de la loi (article 32), et le principe de proportionnalité impose de détruire ou d’anonymiser les données dès qu’elles ne sont plus nécessaires (article 6). En pratique, une entreprise suisse applique le même raisonnement d’archivage limité. Voir le guide nLPD.
Ce que je constate en mission. La demande d’effacement révèle presque toujours le même angle mort : l’entreprise supprime le compte client, mais le contact reste dans l’outil d’e-mailing, dans le logiciel de devis et chez le prestataire de support. Trois mois plus tard, la personne reçoit une newsletter et porte plainte. Avant de répondre « c’est fait », il faut avoir coché chaque ligne du registre.
Thomas Blanc, DPO externalisé depuis 2018
Questions fréquentes
Doit-on supprimer les factures d’un client qui demande l’effacement ?
Non. Les pièces comptables sont conservées 10 ans en vertu du Code de commerce ; elles passent en archivage à accès restreint et ne sont plus utilisées pour d’autres finalités. La réponse au client l’explique.
L’effacement doit-il atteindre les sauvegardes ?
Oui, mais selon un calendrier raisonnable : la CNIL admet que les données restent dans une sauvegarde jusqu’à son écrasement, à condition que le cycle soit documenté, que la personne en soit informée et que la sauvegarde ne soit pas réutilisée pour restaurer ses données.
Et le droit au déréférencement ?
C’est l’application du droit à l’effacement aux moteurs de recherche : la personne demande la suppression de résultats associés à son nom. Il concerne les moteurs, pas le site d’origine, et obéit à une mise en balance avec le droit à l’information.
Organiser vos réponses aux demandes de droits
La procédure d’effacement, le calendrier des sauvegardes et le journal des demandes sont des livrables de notre audit RGPD ; un DPO externalisé traite ensuite les demandes avec vous.
🧩 Êtes-vous conforme au droit à l’effacement (Art. 17 RGPD) ?
Sources
- Règlement (UE) 2016/679, article 17
- CNIL – Le droit à l’effacement
- CNIL – Les sanctions prononcées (Discord 2022, Free Mobile 2022)
- Le Monde Informatique – Doctissimo sanctionnée (mai 2023)
