Délai légal d'effacement des données : que prévoit le RGPD ?
Après une demande d'effacement, également appelée droit à l'oubli, une entreprise ne peut ni passer votre requête sous silence, ni la repousser indéfiniment. Le Règlement général sur la protection des données (RGPD) impose des délais de réponse précis à tout organisme qui traite vos données personnelles, et encadre les rares cas où il peut dire non. Voici le calendrier imposé par la loi, jour par jour, et les solutions à votre disposition si vous ne recevez aucune réponse.
Un mois à compter de la réception de votre demande pour effacer vos données et vous le confirmer, ou pour vous expliquer pourquoi l'organisme refuse (article 12 du RGPD). Trois mois au total si la demande est complexe ou si l'organisme en reçoit beaucoup, à la seule condition de vous avoir prévenu, motifs à l'appui, avant la fin du premier mois. C'est gratuit. Le refus n'est légitime que dans cinq cas prévus par l'article 17, obligation légale de conservation en tête. Passé le délai sans réponse : relance écrite au délégué à la protection des données, puis plainte en ligne à la CNIL, preuves à l'appui.
Un mois : le délai légal de base
L'article 12 du RGPD fixe la règle : dès réception de votre demande d'effacement, l'entreprise ou le site web dispose au maximum d'un mois pour supprimer vos données et vous en confirmer l'exécution. Le texte précise même que la réponse doit intervenir « dans les meilleurs délais », le mois étant un plafond, pas un objectif.
- Point de départ. Le compteur démarre le jour où la demande parvient à l'organisme, que ce soit par email, via un formulaire ou par courrier. Gardez une preuve de cette date : copie de l'email, capture du formulaire, accusé de réception du recommandé.
- Vérification d'identité. En cas de doute raisonnable sur votre identité, l'organisme peut vous demander un complément d'information, voire un justificatif. Tant que la demande est incomplète, le délai est suspendu ; il reprend à réception de l'élément manquant. Il ne peut en revanche ni exiger une pièce d'identité par principe, ni réclamer un document disproportionné par rapport à ce que vous demandez.
- Gratuité. Ce droit s'exerce gratuitement, aucun frais de suppression ne peut vous être facturé. Une seule exception, à la charge de l'organisme de la prouver : une demande manifestement infondée ou excessive, par exemple répétée sans cesse, pour laquelle il peut réclamer des frais raisonnables ou refuser d'y donner suite.
| Échéance | Ce qui doit s'être passé |
|---|---|
| Jour 0 | Votre demande parvient à l'organisme : le délai court. |
| Avant la fin du 1er mois | Soit vos données sont effacées et vous en êtes informé, soit on vous notifie un refus motivé, soit on vous annonce une prolongation avec ses raisons. |
| Fin du 3e mois au plus tard | Exécution de la demande prolongée. Aucun report n'est possible au-delà. |
| Silence au-delà du 1er mois | Sans notification de prolongation, le délai est dépassé : relance puis plainte à la CNIL. |
Une prolongation possible jusqu'à trois mois
Tenir le délai d'un mois n'est pas toujours possible. Le RGPD autorise alors une prolongation de deux mois supplémentaires, soit trois mois au total, mais uniquement « compte tenu de la complexité et du nombre des demandes », ce qui recouvre deux cas de figure :
- la demande présente une complexité particulière, par exemple lorsque vos données sont éparpillées entre plusieurs bases, des sauvegardes ou des archives physiques ;
- l'organisme fait face à un volume inhabituel de demandes simultanées.
Les exceptions : les cas où le refus est légitime
Le droit à l'effacement connaît des limites. L'article 17 du RGPD autorise une entreprise à refuser ou à différer la suppression de vos données personnelles dans cinq situations, toutes liées à un intérêt que le législateur a jugé supérieur. Dans tous les autres cas, le refus est illégal.
| Motif de refus | Exemple concret |
|---|---|
| Obligation légale de conservation | Un site e-commerce doit conserver factures et pièces comptables pendant dix ans, même après la suppression de votre compte. Mais il ne garde que ces pièces : votre profil, vos préférences et votre historique de navigation n'entrent pas dans l'obligation. |
| Droits en justice | Vos données servent à constater, exercer ou défendre un droit dans un litige ou un procès en cours, par exemple une facture contestée. |
| Liberté d'expression et d'information | Un média en ligne peut refuser de retirer un article d'actualité qui vous cite, au nom du droit du public à l'information. |
| Santé publique | Dans un cadre très encadré, certaines données de santé peuvent être conservées pour un motif d'intérêt public, comme le suivi épidémique. |
| Archives, recherche, statistiques | Conservation à des fins archivistiques dans l'intérêt public, de recherche scientifique ou historique, ou statistiques, avec des garanties telles que la pseudonymisation. Des « statistiques commerciales » internes n'en relèvent pas. |
Deux précisions qui changent souvent l'issue. D'abord, un refus doit vous être notifié dans le mois, motivé, et accompagné du rappel que vous pouvez saisir la CNIL ou les tribunaux : un silence n'est jamais un refus légitime. Ensuite, l'exception ne couvre que les données strictement nécessaires au motif invoqué ; pour tout le reste, l'effacement reste dû. Et quel que soit le motif de conservation, votre opposition à la prospection commerciale (article 21) s'impose sans discussion : on peut garder votre facture, pas continuer à vous envoyer des offres.
Silence ou dépassement du délai : les recours
Si l'entreprise reste muette au bout d'un mois, sans vous avoir notifié de prolongation, ou si elle refuse l'effacement sans justification valable, il est temps d'escalader. Deux étapes, dans l'ordre.
La relance formelle
Adressez un nouvel email, ou un courrier recommandé, au délégué à la protection des données (DPO), dont les coordonnées figurent dans la politique de confidentialité, en rappelant la date de votre demande initiale et en soulignant que le délai légal de l'article 12 du RGPD est désormais dépassé. Fixez une dernière échéance courte, une dizaine de jours, et annoncez qu'à défaut vous saisirez la CNIL. Le guide pratique du RGPD au quotidien explique comment trouver le DPO et propose un modèle de message.
Le signalement à la CNIL
Face à un silence persistant, déposez une plainte en ligne auprès de la CNIL, la Commission nationale de l'informatique et des libertés. La démarche est gratuite ; la CNIL demande que vous ayez d'abord exercé votre droit auprès de l'organisme et que vous joigniez une copie de votre demande et des échanges. Cette autorité peut mettre l'entreprise en demeure, la contrôler et prononcer des sanctions financières, jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial pour une atteinte aux droits des personnes. Un recours devant les tribunaux et une demande de réparation du préjudice subi restent par ailleurs ouverts. Si l'entreprise a opposé un refus explicite, le détail de la marche à suivre est dans que faire si un site refuse d'effacer mes données ?.
Tenir le compte, site par site
Un mois par organisme, à compter de dates différentes, avec des prolongations à vérifier, des relances à dater et des preuves à conserver : multiplier les demandes et suivre le décompte site par site, ou courtier en données par courtier en données, devient vite une charge administrative considérable. C'est précisément à ce stade que la plupart des démarches s'arrêtent, et que les données restent en place.
Des plateformes spécialisées dans la suppression de données personnelles, à l'image de Sheeldy, permettent d'automatiser l'envoi des demandes d'effacement et le suivi des échéances légales du RGPD : chaque demande est datée, les organismes sans réponse sont relancés à l'échéance, et les refus sont consignés avec les preuves nécessaires à une plainte, sans que vous ayez à gérer vous-même un calendrier complexe. Pour la partie visible de votre empreinte, comptes et annuaires, le plan d'action manuel est dans comment effacer mes traces sur Internet ?.
Questions fréquentes
Quel est le délai légal pour effacer mes données après une demande ?
À partir de quand le délai d'un mois commence-t-il à courir ?
Une entreprise peut-elle refuser d'effacer mes données ?
La demande d'effacement peut-elle m'être facturée ?
Que faire si l'entreprise ne répond pas dans le délai ?
En résumé
Un mois, trois au plus si l'on vous prévient à temps, gratuit, et un refus possible dans cinq cas seulement, toujours motivé par écrit. Le reste est du silence, et le silence se traite : relance datée au DPO, puis plainte à la CNIL avec vos preuves. Ce calendrier vaut pour chaque organisme qui détient vos données ; le tenir pour des dizaines de courtiers en données est le travail que Sheeldy fait à votre place.