RGPD : demander l’effacement de vos données personnelles
Dans l’Union européenne, vous pouvez demander à un site, une entreprise ou un service d’effacer des données qui vous concernent (photo, nom, adresse, publication…) dans les cas prévus par le RGPD. Il doit vous répondre dans un délai d’un mois, et la démarche est gratuite.
Pour qui
Toute personne dont des données personnelles sont traitées par un organisme établi dans l’UE, ou par un organisme hors UE qui propose ses services à des personnes dans l’UE ou suit leur comportement. Une donnée personnelle est toute information qui permet de vous identifier : nom, photo, vidéo, numéro, adresse…
Délai
1 mois à partir de la réception de votre demande, prolongeable de 2 mois si elle est complexe (le responsable doit alors vous prévenir dans le premier mois).
Coût
Gratuit, y compris la plainte auprès de l’autorité de protection des données. Le responsable ne peut demander des frais, ou refuser, que si la demande est manifestement infondée ou excessive (par exemple répétée).
Base légale
Règlement (UE) 2016/679 (RGPD) : article 17 (droit à l’effacement, ses motifs et ses exceptions), article 12 (réponse sous 1 mois, prolongeable de 2 mois ; gratuité), article 19 (le responsable informe les destinataires de l’effacement) et article 77 (droit de déposer une plainte auprès d’une autorité de contrôle).
Les étapes
- Trouvez le responsable du site ou du service : rubriques « mentions légales », « confidentialité », ou contact du délégué à la protection des données (DPO).
- Écrivez-lui (formulaire, e-mail ou courrier) en citant l’article 17 du RGPD : listez précisément les données et les URL à effacer, et le motif (par exemple : vous retirez votre consentement, les données ne sont plus nécessaires, ou elles sont traitées illégalement).
- Gardez une preuve de l’envoi et de sa date. Le responsable doit répondre au plus tard dans un mois ; il peut prolonger de 2 mois si la demande est complexe, mais doit vous prévenir dans le premier mois.
- S’il refuse, il doit vous dire pourquoi et vous indiquer que vous pouvez saisir l’autorité de protection des données et la justice.
- Sans réponse, ou en cas de refus que vous contestez, déposez une plainte auprès de l’autorité de protection des données de votre pays (CNIL en France, AEPD en Espagne), avec la preuve de votre demande. C’est gratuit et vous n’avez pas besoin d’avocat.
- Pour les résultats de recherche liés à votre nom, faites aussi une demande de déréférencement auprès des moteurs (voir la page dédiée).
À préparer
- Les URL exactes ou une description précise des données
- Le motif de votre demande (article 17 du RGPD)
- Une preuve d’identité seulement si le responsable a un doute raisonnable sur qui vous êtes : n’envoyez pas plus que nécessaire
- La preuve de l’envoi et la date de votre demande
- Si vous agissez pour quelqu’un : son mandat écrit
Liens officiels
- CNIL – déposer une plainte en ligne
- CNIL – modèle de courrier pour demander la suppression de vos informations sur un site
- AEPD – supprimer des photos et vidéos d’internet (Espagne, en espagnol)
- Comité européen de la protection des données – liste des autorités nationales
Les limites, à connaître
- Ce droit n’est pas absolu : il peut être refusé notamment au nom de la liberté d’expression et d’information, d’une obligation légale de conservation, d’une mission d’intérêt public, de la santé publique, de l’archivage ou de la recherche, ou pour se défendre en justice.
- Le RGPD ne s’applique pas à un usage strictement personnel ou domestique entre particuliers.
- Un organisme installé hors de l’UE qui ne s’adresse pas à des personnes dans l’UE peut échapper au RGPD.
- L’effacement ne concerne que ce responsable : s’il a rendu les données publiques, il doit seulement prendre des mesures raisonnables pour prévenir les autres sites qui les ont copiées.
- Les autorités (CNIL, AEPD) demandent d’avoir d’abord écrit au responsable et d’en garder la preuve.
Si ça ne marche pas
Un formulaire officiel peut rester sans réponse, ou être refusé à tort. Ce n’est pas la fin : il existe d’autres portes, plus lourdes mais efficaces — l’hébergeur du site, la société qui gère son nom de domaine, les lois de votre pays, l’autorité de protection des données. C’est exactement ce que nous faisons pour vous, avec votre accord.
- Le signalement à la plateforme
- La demande écrite à l’éditeur du site
- Le registrar du nom de domaine
- L’hébergeur du site
- Les moteurs de recherche
- L’autorité ou la justice
Ces informations vous aident à exercer vos droits. Elles ne remplacent pas l’avis d’un avocat.