Que faire si un site refuse d'effacer mes données ? Les recours légaux
L'article 17 du RGPD vous garantit un droit à l'effacement, mais la réalité est parfois différente. Face à une demande de suppression, certains sites web font la sourde oreille, se cachent derrière des procédures complexes ou opposent un refus catégorique. Si une entreprise bloque la suppression de vos données personnelles, vous n'êtes pas démuni : la loi prévoit une gradation de recours, et le simple fait de les connaître suffit souvent à débloquer la situation. Voici le plan d'action, dans l'ordre, pour faire plier les sites récalcitrants.
Trois étapes. 1. Vérifiez si le refus repose sur l'une des cinq exceptions légales (factures à conserver, litige en cours, liberté d'information, santé publique, archives) : si oui, l'organisme garde ces données-là, et rien d'autre. 2. Sinon, ou en cas de silence passé un mois, envoyez une mise en demeure au délégué à la protection des données avec une échéance de dix jours. 3. Sans effet, déposez une plainte gratuite à la CNIL avec vos preuves : elle écrit à l'organisme, peut le mettre en demeure et le sanctionner. Pour des dommages et intérêts, le tribunal reste la seule voie.
Vérifier la légitimité du refus
Le droit à l'oubli n'est pas absolu. Avant de contre-attaquer, assurez-vous que l'entreprise n'a pas un motif légal et incontestable pour conserver vos informations : l'article 17 n'en admet que cinq, détaillés dans délai légal d'effacement des données : que prévoit le RGPD ?. Si le refus s'appuie sur l'une de ces exceptions, vos recours seront limités à ce qui dépasse l'exception. Dans les autres cas, le refus est illégal, et c'est le plus fréquent.
| Motif de refus invoqué | Ce que dit la loi |
|---|---|
| Obligation fiscale ou comptable | Légal, mais limité. Un site e-commerce doit conserver vos factures et ses pièces comptables, dix ans en règle générale, même si vous exigez la suppression de votre compte client. Cela ne l'autorise pas à garder votre profil, vos préférences ou votre historique de navigation, ni à continuer de vous solliciter. |
| Litige en cours | Légal. Si vous êtes en contentieux avec l'entreprise (facture impayée, plainte, réclamation), elle peut geler la suppression des données utiles à sa défense jusqu'à la résolution du litige. |
| « Besoin » de vous envoyer des offres ou de garder des statistiques commerciales | Illégal. Votre opposition à la prospection s'impose sans condition (article 21) ; l'exception « statistiques » du RGPD vise la recherche et les statistiques d'intérêt public, avec des garanties comme la pseudonymisation, pas le pilotage marketing d'une entreprise. |
| Pièce d'identité exigée par principe | Souvent illégal. Un site ne peut réclamer un justificatif qu'en cas de doute raisonnable sur votre identité, et proportionné à la demande. Si vous écrivez depuis l'adresse email du compte, le doute est difficile à justifier ; pour une désinscription de newsletter, le lien de désinscription doit suffire. |
| Silence, ou refus sans explication | Illégal. Un refus doit être notifié dans le mois, motivé, et accompagné du rappel de vos recours. Passé un mois sans réponse ni notification de prolongation, le délai légal est dépassé. |
Dans tous les cas, relisez la réponse reçue : un refus partiel qui garde la facture et efface le reste est conforme, un refus global « pour obligation légale » ne l'est presque jamais.
Envoyer une mise en demeure au DPO
Si le refus est illégitime, ou si le site fait le mort après le délai légal d'un mois, il faut passer à la vitesse supérieure. Ne contactez plus le service client, adressez-vous directement au délégué à la protection des données (DPO) ou au service juridique : ses coordonnées doivent figurer dans la politique de confidentialité, et le guide pratique du RGPD au quotidien explique comment les trouver quand elles se cachent.
- La forme. Un email formel, ou un courrier recommandé avec accusé de réception si l'enjeu le justifie, intitulé « Mise en demeure avant saisine de la CNIL ». Conservez l'envoi et l'accusé.
- Les faits. La date de votre demande initiale, le canal utilisé, le délai légal dépassé ou le motif de refus que vous contestez, et les articles du RGPD concernés.
- L'ultimatum. Exigez l'exécution de la suppression, et sa confirmation écrite, sous dix jours ouvrés, en précisant qu'à défaut une plainte sera déposée auprès de la CNIL. La simple mention de l'autorité suffit généralement à débloquer la situation.
Objet : Mise en demeure avant saisine de la CNIL – demande d'effacement du [date]
Madame, Monsieur,
Le [date de la demande initiale], je vous ai demandé par [email / formulaire / courrier] l'effacement des données personnelles me concernant, sur le fondement de l'article 17 du RGPD. [À ce jour, je n'ai reçu aucune réponse, alors que le délai d'un mois prévu à l'article 12 est dépassé depuis le [date]. / Votre réponse du [date] oppose un refus fondé sur [motif], qui ne correspond à aucune des exceptions prévues à l'article 17, paragraphe 3.]
Je vous mets en demeure de procéder à cet effacement et de m'en confirmer l'exécution par écrit sous dix jours ouvrés à compter de la réception du présent message. À défaut, je déposerai une plainte auprès de la CNIL, sur le fondement de l'article 77 du RGPD, en joignant l'ensemble de nos échanges.
Vous pouvez m'identifier par [adresse email du compte / numéro client].
[Prénom Nom]
Saisir l'autorité de contrôle : la CNIL
Si la mise en demeure reste lettre morte, il est temps de faire appel au gendarme des données personnelles. En France, il s'agit de la Commission nationale de l'informatique et des libertés (CNIL), et la plainte est un droit que l'article 77 du RGPD vous reconnaît.
- Le dépôt de plainte. Rendez-vous sur le service de plainte en ligne de la CNIL (un compte est à créer) ou écrivez par courrier. Le processus est gratuit. Condition posée par la CNIL : avoir d'abord exercé votre droit auprès de l'organisme et attendu le délai d'un mois.
- Le dossier. Joignez les preuves de vos démarches préalables : copies des demandes et de la mise en demeure, captures d'écran des refus, accusés de réception. La CNIL demande « une copie des pièces indispensables à la compréhension » de la plainte ; un dossier daté et complet accélère tout.
- Les conséquences. Pour un droit non respecté, la CNIL écrit à l'organisme ou à son DPO pour que votre demande soit satisfaite, ce qui suffit le plus souvent. En cas de manquement avéré, elle peut prononcer un rappel à l'ordre, une mise en demeure publique, un contrôle, et des sanctions allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial, le plafond le plus élevé du RGPD, réservé notamment aux atteintes aux droits des personnes.
Et après la CNIL : le tribunal et la réparation
La plainte à la CNIL n'épuise pas vos droits. L'article 79 du RGPD vous ouvre un recours juridictionnel contre l'organisme, indépendamment de toute procédure devant l'autorité de contrôle, et l'article 82 vous donne droit à la réparation du préjudice, matériel ou moral, causé par la violation du règlement. Vous pouvez aussi, en vertu de l'article 80, mandater une association de défense des droits numériques pour agir en votre nom, voire rejoindre une action de groupe. Ces voies sont plus lourdes ; elles se justifient quand le refus vous cause un dommage réel, par exemple des données sensibles maintenues en ligne ou une prospection qui persiste malgré tout.
Automatiser la gestion des refus
Gérer les refus, rédiger des relances juridiques et constituer des dossiers de plainte pour chaque courtier en données ou site récalcitrant est extrêmement chronophage, et c'est souvent sur cet épuisement que comptent les interlocuteurs de mauvaise foi. Pour éviter de s'user face à des dizaines d'organismes, un service d'automatisation des droits comme Sheeldy change la donne : la plateforme détecte vos données exposées, envoie les demandes d'effacement sous mandat, relance à l'échéance légale les organismes qui ne répondent pas, et consigne chaque refus avec les preuves datées dont vous aurez besoin pour une mise en demeure ou une plainte. La décision de saisir la CNIL reste la vôtre ; le dossier, lui, est déjà prêt. Pour les démarches manuelles, site par site, le mode d'emploi est dans se désabonner des data brokers.
Questions fréquentes
Un site peut-il exiger ma carte d'identité pour effacer mes données ?
Le site dit qu'il doit conserver mes données dix ans, est-ce vrai ?
Combien de temps la CNIL met-elle à traiter une plainte ?
Puis-je obtenir des dommages et intérêts ?
Le site est basé hors de l'Union européenne, ai-je encore des recours ?
En résumé
Un refus n'est légitime que dans cinq cas, et jamais en bloc : l'organisme garde la facture, pas votre profil. Pour tout le reste, la gradation est simple et presque toujours suffisante : mise en demeure datée au DPO, puis plainte gratuite à la CNIL avec les preuves, le tribunal restant la voie des dommages et intérêts. Ce qui épuise, ce n'est pas la procédure, c'est de la mener de front contre des dizaines d'organismes ; c'est là que Sheeldy prend le relais.