Droit à l'effacement (article 17 du RGPD) : mode d'emploi et modèle

Votre adresse sur un annuaire en ligne, une ancienne photo sur le site d'une association, votre nom dans un fichier publié par erreur : de nombreuses informations personnelles restent en ligne alors qu'elles n'ont plus de raison de l'être. Le Règlement général sur la protection des données (RGPD) vous donne un outil puissant pour en obtenir la suppression, le droit à l'effacement, à condition de l'utiliser dans les bons cas et dans les formes.

Ce guide explique quand ce droit s'applique, comment rédiger votre demande et que faire si elle est refusée.

Ce que prévoit l'article 17 du RGPD

L'article 17 du RGPD donne à toute personne le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant. Le responsable du traitement est l'organisme qui décide de la publication ou de l'utilisation des données : l'éditeur d'un site, une entreprise, une association, un réseau social.

Les six motifs d'effacement

Vous pouvez obtenir l'effacement lorsque l'un des motifs suivants s'applique :

1. les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ;
2. vous retirez votre consentement, lorsque le traitement reposait sur celui-ci, et il n'existe pas d'autre fondement juridique ;
3. vous vous opposez au traitement (article 21) et il n'existe pas de motif légitime impérieux pour le poursuivre, ou le traitement a une finalité de prospection ;
4. les données ont fait l'objet d'un traitement illicite ;
5. les données doivent être effacées pour respecter une obligation légale ;
6. les données ont été collectées dans le cadre de l'offre de services en ligne à un enfant.

Les exceptions : quand l'effacement peut être refusé

L'article 17.3 prévoit que le droit à l'effacement ne s'applique pas lorsque le traitement est nécessaire :

L'exception de la liberté d'expression est celle que vous rencontrerez le plus souvent en matière d'e-réputation. Elle explique pourquoi un média refuse généralement de supprimer un article, même ancien.

Effacement ou déréférencement : deux démarches différentes

On parle souvent de « droit à l'oubli » pour désigner indistinctement deux démarches :

• l'effacement, demandé au site qui publie l'information, qui la supprime à la source ;
• le déréférencement, demandé à un moteur de recherche, qui retire un lien des résultats associés à votre nom, sans supprimer la page.

Les deux se complètent. Si le site refuse d'effacer, le déréférencement peut réduire fortement la visibilité de l'information. Google propose pour cela un formulaire dédié ; nous détaillons la procédure et les critères dans notre guide sur le droit au déréférencement Google.

Autre point utile : lorsque le responsable a rendu les données publiques, l'article 17.2 lui impose de prendre des mesures raisonnables pour informer les autres responsables qui les traitent, comme les moteurs de recherche, de votre demande d'effacement.

Comment exercer votre droit à l'effacement

Étape 1 : identifier le bon interlocuteur

Cherchez dans les mentions légales ou la politique de confidentialité du site l'adresse du délégué à la protection des données (DPO) ou le contact dédié aux données personnelles. À défaut, écrivez au service client ou à l'adresse de contact de l'éditeur.

Étape 2 : rédiger une demande précise

Votre demande doit indiquer :

• les URL exactes des pages concernées ;
• les données dont vous demandez l'effacement (nom, photo, adresse…) ;
• le fondement : article 17 du RGPD, et le cas échéant l'article 21 si vous vous opposez au traitement ;
• vos motifs, surtout si vous invoquez l'opposition : ancienneté, absence d'intérêt public, préjudice subi ;
• le délai légal de réponse d'un mois (article 12.3).

Étape 3 : garder une preuve de l'envoi

Utilisez le formulaire du site, un e-mail dont vous conservez une copie, ou un courrier recommandé avec accusé de réception. Faites des captures d'écran datées des pages concernées avant l'envoi.

Conseil : l'organisme ne peut vous demander un justificatif d'identité qu'en cas de doute raisonnable sur votre identité. N'envoyez pas spontanément une copie de votre pièce d'identité.

Modèle de demande

La CNIL met à disposition un modèle de courrier personnalisable. Vous pouvez aussi vous inspirer de la trame suivante :

Madame, Monsieur,

Des informations me concernant sont publiées sur votre site aux adresses suivantes : [URL 1], [URL 2]. Il s'agit de [décrire les données : nom, photographie, adresse…].

En application des articles 17.1 et 21.1 du Règlement général sur la protection des données, je vous demande d'effacer ces données. [Exposer vos motifs : ancienneté des informations, absence d'intérêt pour le public, préjudice subi…]

Je vous demande également, conformément à l'article 17.2 du RGPD, de prendre les mesures raisonnables pour informer les moteurs de recherche de ma demande, afin que ces pages ne soient plus référencées.

Conformément à l'article 12.3 du RGPD, je vous remercie de me faire part de la suite réservée à ma demande dans un délai d'un mois à compter de sa réception.

Je vous prie d'agréer, Madame, Monsieur, l'expression de mes salutations distinguées.

[Nom, prénom, coordonnées]

Les délais et la gratuité

Le cas des données publiées lorsque vous étiez mineur

La loi Informatique et Libertés (article 51) renforce le droit à l'effacement pour les données collectées dans le cadre de services en ligne lorsque la personne concernée était mineure au moment de la collecte. Pour protéger vos enfants en ligne, consultez aussi notre article sur l'e-réputation des enfants et adolescents.

Que faire en cas de refus ou d'absence de réponse ?

1. Relancez l'organisme en rappelant votre première demande et le délai légal.
2. Saisissez la CNIL via son service de plainte en ligne, en joignant votre demande, la preuve de son envoi et la réponse éventuelle. La CNIL indique que vous pouvez le faire en l'absence de réponse sous un mois ou en cas de réponse insatisfaisante.
3. Envisagez une action en justice si l'atteinte est grave, notamment en référé, avec l'aide d'un avocat.

Attention : le droit à l'effacement n'est pas un moyen de faire disparaître une critique qui vous déplaît. Un avis client, un article de presse ou un commentaire relevant de la liberté d'expression bénéficient en principe de l'exception de l'article 17.3. Si les propos portent atteinte à votre honneur, le fondement adapté est plutôt la diffamation ou l'injure, avec un délai d'action très court.

Les erreurs qui font échouer une demande

Beaucoup de demandes d'effacement restent sans effet pour des raisons évitables :

• Une demande trop vague. « Supprimez tout ce qui me concerne » oblige l'organisme à chercher lui-même et prête à la discussion. Listez chaque URL et chaque donnée.
• Un mauvais destinataire. Écrire au moteur de recherche pour obtenir la suppression d'une page, ou au site pour obtenir un déréférencement, fait perdre des semaines. Adressez chaque demande au bon responsable.
• L'absence de motifs. Lorsque vous invoquez le droit d'opposition, c'est à vous d'exposer les raisons tenant à votre situation particulière. Une demande non motivée sera plus facilement rejetée.
• L'absence de preuve. Sans copie datée de la demande et des pages concernées, il est difficile de démontrer à la CNIL que l'organisme n'a pas répondu dans le délai.
• Une demande agressive. Un ton menaçant n'accélère rien. Un courrier factuel, qui cite les articles applicables et fixe le délai légal, est plus efficace.

Les autres droits utiles pour votre e-réputation

Le RGPD offre d'autres leviers, souvent combinés avec l'effacement :

• le droit d'accès (article 15), pour savoir quelles données un organisme détient sur vous ;
• le droit de rectification (article 16), pour corriger une information inexacte, utile y compris face à des informations erronées reprises par des outils d'IA, comme expliqué dans notre guide pour corriger une information fausse dans une IA ;
• le droit d'opposition (article 21), pour s'opposer à un traitement pour des raisons tenant à votre situation particulière.

Ces démarches s'inscrivent dans une méthode plus large pour nettoyer son e-réputation.

En résumé

Le droit à l'effacement est efficace pour des données personnelles devenues inutiles, publiées sans base légale ou sans intérêt pour le public. Adressez une demande précise au responsable du traitement, gardez une preuve, laissez-lui un mois pour répondre, puis saisissez la CNIL si nécessaire. Face à un contenu protégé par la liberté d'expression, tournez-vous plutôt vers le déréférencement ou, en cas d'atteinte à l'honneur, vers les recours de la loi de 1881.

Cet article est une information générale et ne remplace pas le conseil d'un avocat.