L’article 18 du RGPD permet à une personne d’obtenir le gel de ses données dans quatre situations : pendant la vérification de leur exactitude qu’elle conteste, lorsque le traitement est illicite mais qu’elle préfère la limitation à l’effacement, lorsque l’entreprise n’a plus besoin des données mais qu’elle en a besoin pour un recours en justice, ou pendant l’examen d’une opposition. Les données limitées sont conservées mais ne peuvent plus être utilisées, sauf avec le consentement de la personne, pour une action en justice, pour protéger un tiers ou pour un intérêt public important.
L’essentiel
- Quatre cas, tous temporaires ou liés à une autre démarche (contestation, opposition, contentieux).
- Limiter, c’est conserver sans utiliser : marquage dans l’outil, retrait des traitements automatisés, accès restreint.
- L’entreprise prévient la personne avant de lever la limitation.
- Peu de demandes en pratique, mais une réponse à préparer parce qu’elle accompagne souvent un litige.
Ce que dit l’article 18
| Paragraphe | Ce que dit le texte |
|---|---|
| 18.1 – Cas | La personne obtient la limitation lorsque : (a) elle conteste l’exactitude des données, pendant la vérification ; (b) le traitement est illicite et elle s’oppose à l’effacement en exigeant la limitation ; (c) le responsable n’a plus besoin des données mais elles sont nécessaires à la personne pour un recours en justice ; (d) elle s’est opposée au traitement, pendant la vérification de la prévalence des motifs légitimes. |
| 18.2 – Effets | Les données limitées ne peuvent être traitées, à l’exception de la conservation, qu’avec le consentement de la personne, pour une action en justice, pour protéger les droits d’un tiers ou pour un intérêt public important. |
| 18.3 – Levée | La personne qui a obtenu la limitation est informée avant qu’elle soit levée. |
| Article 4.3 – Définition | La limitation est le marquage de données conservées en vue de limiter leur traitement futur. |
Ce que cela change pour une PME
Savoir marquer une fiche
La plupart des CRM, logiciels RH et outils d’e-mailing permettent d’exclure un contact de toute action sans le supprimer : statut « suspendu », liste d’exclusion, champ dédié. Identifier cette fonction dans chaque outil avant la première demande évite d’improviser.
Reconnaître les demandes implicites
Une personne qui conteste une facture, qui dit que ses informations sont fausses ou qui s’oppose à un traitement demande souvent, sans employer le mot, une limitation. Le réflexe : geler les usages non indispensables le temps de l’examen, et le dire par écrit.
Lier limitation et contentieux
Dans un litige avec un salarié ou un client, les données nécessaires à la défense sont conservées même après la fin du contrat ; la limitation permet de les garder sans les utiliser à d’autres fins. Elle se combine avec les exceptions de l’article 17.
Prévenir avant de lever
Lorsque la vérification est terminée ou que l’opposition est rejetée, l’entreprise informe la personne avant de reprendre le traitement, en motivant sa décision et en rappelant le droit de saisir la CNIL.
Ce que la CNIL contrôle sur ce fondement
| Texte ou décision | Nature | Ce qu’il faut retenir |
|---|---|---|
| Traitement des demandes de droits (article 12) | Point de contrôle | La CNIL vérifie que toute demande, y compris de limitation, reçoit une réponse dans le mois ; les sanctions pour demandes non traitées (Free Mobile, décembre 2022, 300 000 euros toutes causes) s’appliquent à l’ensemble des droits. |
| Lignes directrices sur les droits des personnes | Doctrine | Le CEPD et la CNIL rappellent que la limitation est un droit distinct de l’opposition et de l’effacement, à proposer à la personne lorsque l’effacement est impossible ou non souhaité. |
Aucune sanction publique ne repose sur le seul article 18 ; le risque pratique est de continuer à utiliser des données pendant une contestation, ce qui aggrave le litige d’origine.
Les questions que je pose en audit
- Dans chaque outil, comment bloque-t-on l’usage d’une fiche sans la supprimer ?
- Que faites-vous des données d’un client ou d’un salarié avec qui un litige est en cours ?
- Qui décide de lever une limitation, et comment la personne en est-elle informée ?
- Vos campagnes d’e-mailing excluent-elles automatiquement les contacts suspendus ?
- Vos prestataires peuvent-ils appliquer une limitation sur instruction ?
Prêt à l’emploi : la réponse à une demande de limitation
Mise en place : « Suite à votre demande du [date], nous avons limité le traitement de vos données à compter du [date] : elles sont conservées mais ne font plus l’objet d’aucune utilisation, hormis [exception : conservation / procédure en cours]. Cette limitation s’applique le temps de [vérification de l’exactitude / examen de votre opposition], soit au plus tard jusqu’au [date]. Nous vous informerons avant toute levée. »
Levée : « La vérification que vous aviez demandée est terminée : [résultat]. En conséquence, nous reprendrons le traitement de vos données à compter du [date], pour les finalités suivantes : [liste]. Vous pouvez contester cette décision auprès de nous ou introduire une réclamation auprès de la CNIL. »
Et en Suisse ?
La nLPD ne prévoit pas de droit à la limitation en tant que tel ; la personne peut demander l’interdiction d’un traitement illicite ou la mention du caractère litigieux d’une donnée (article 32), ce qui produit un effet comparable de gel. Voir le guide nLPD.
Ce que je constate en mission. La limitation est le droit que les entreprises connaissent le moins, et celui qui leur rend le plus service en cas de conflit : il permet de dire à un salarié en litige « vos données sont gelées, nous ne les utilisons que pour la procédure », ce qui apaise plus sûrement qu’un refus d’effacement. Je l’intègre systématiquement à la procédure de réponse aux demandes, même si elle sert deux fois par an.
Thomas Blanc, DPO externalisé depuis 2018
Questions fréquentes
Combien de temps dure une limitation ?
Le temps de la cause qui l’a justifiée : la vérification d’exactitude, l’examen de l’opposition, la durée du recours en justice. Elle n’est pas un droit permanent.
La limitation empêche-t-elle de conserver les données ?
Non, elle l’impose au contraire : les données sont conservées, marquées, et seules leurs utilisations sont suspendues.
Quelle différence avec l’opposition ?
L’opposition vise à faire cesser un traitement de façon définitive ; la limitation suspend provisoirement, souvent le temps d’examiner l’opposition.
Organiser vos réponses aux demandes de droits
Notre audit RGPD livre la procédure et les réponses types pour les six droits.
