Droit à l'effacement RGPD : export et suppression des données

Ce que dit l'article 17 du RGPD sur le droit à l'effacement

Selon l'article 17 du règlement européen, toute personne peut obtenir du responsable de traitement l'effacement des données à caractère personnel qui la concernent (on parle aussi de « droit à l'oubli »). Dès qu'un des motifs prévus s'applique, ce responsable doit agir dans les meilleurs délais.

Ce responsable, c'est vous : l'entreprise qui décide pourquoi et comment les données sont collectées. Votre hébergeur, votre outil d'emailing, votre CRM ? Ce sont des sous-traitants. La demande arrive chez vous, mais l'effacement doit aussi se répercuter chez eux.

Les six motifs qui ouvrent le droit à l'effacement

Pas question d'exiger la suppression sans raison. Le texte prévoit six situations, et une seule suffit.

• Les données ne sont plus nécessaires au regard des finalités pour lesquelles on les a collectées ou traitées.
• Le consentement est retiré, et aucun autre fondement juridique ne justifie le traitement.
• La personne s'oppose au traitement et aucun motif légitime impérieux ne permet de le poursuivre ; s'il s'agit de prospection commerciale, son opposition suffit à elle seule.
• Le traitement était illicite, par exemple une collecte sans base légale.
• Une obligation légale, prévue par le droit de l'Union ou d'un État membre, impose l'effacement.
• Les données viennent d'un mineur et ont été collectées dans le cadre d'une offre de services de la société de l’information (une application, un réseau social…).

Sur un site de PME, deux cas dominent : le retrait du consentement à la newsletter et le refus d'être prospecté. Le motif « données plus nécessaires » revient souvent lui aussi. Pensez à cet ancien prospect dont vous conservez la fiche depuis des années, sans raison claire.

Quand les données ont été rendues publiques

Le paragraphe 2 de l'article 17 va plus loin. Avez-vous rendu les données publiques, avec un avis client signé de son nom ou un portrait sur votre page équipe ? Il vous faut alors prendre des mesures raisonnables, y compris techniques, pour prévenir les autres responsables qui les traitent : la personne demande l'effacement de tout lien vers ces données et de toute copie.

Les technologies disponibles et les coûts de mise en œuvre entrent en ligne de compte. Retrouver chaque capture d'écran sur le web ? Personne ne l'exige. En revanche, on attend de vous que vous retiriez la page, que vous demandiez une désindexation si besoin et que vous préveniez les partenaires à qui vous avez transmis l'information.

Le droit à l'effacement est-il absolu ?

Non, loin de là. Le paragraphe 3 de l'article 17 prévoit cinq exceptions. Vous pouvez alors garder tout ou partie des données, à condition de savoir dire laquelle s'applique. Et un refus se motive toujours.

Les cinq exceptions prévues par le texte

• La liberté d’expression et d’information : un article de presse ou un contenu éditorial peut l'emporter sur la demande.
• Le respect d'une obligation légale, ou l'exécution d'une mission d'intérêt public ou relevant de l'autorité publique.
• Des motifs d'intérêt public dans le domaine de la santé publique.
• Des fins archivistiques dans l’intérêt public, de recherche scientifique ou historique, ou statistiques, quand l'effacement rendrait ces objectifs impossibles ou les compromettrait gravement.
• La constatation, l’exercice ou la défense de droits en justice.

C'est la deuxième qui vous concernera le plus souvent. Même si le client demande la suppression de son compte, sa facture doit être conservée selon les règles comptables. Le traitement répond alors à une obligation légale : vous gardez la facture et vous effacez tout le reste (mot de passe, historique de navigation, préférences, abonnement à la newsletter).

La logique à appliquer donnée par donnée

Ne traitez jamais une demande d'effacement en bloc : raisonnez donnée par donnée. Compte client, facture, message laissé via le formulaire de contact, adresse dans votre liste d'emailing… chacun a sa propre base légale et sa propre durée de conservation.

Un litige en cours ? Les archives qui s'y rattachent relèvent de l'exercice ou de la défense de droits en justice : elles peuvent rester, mais isolées et à accès restreint. La liberté d’expression vise surtout les éditeurs de contenus, et les fins archivistiques dans l’intérêt public concernent plutôt les institutions que les entreprises commerciales. Notre conseil : ne vous abritez pas derrière une exception qui ne s'applique pas à vous, car la CNIL y regarde de près en cas de plainte.

Export des données : l'autre moitié de la demande

Effacement et export vont souvent de pair : avant de partir, beaucoup d'utilisateurs veulent récupérer ce qu'ils vous ont confié. Deux droits se croisent ici, avec des périmètres qui ne se recouvrent pas tout à fait.

Le droit d'accès : une copie de tout

Grâce au droit d'accès (article 15), la personne apprend si vous traitez ses données et en obtient une copie. Vous lui indiquez aussi les finalités, les destinataires, la durée de conservation et l'origine des données. Peu importe le fondement du traitement : ce droit s'applique toujours.

Le droit à la portabilité : un fichier réutilisable

Plus étroit, le droit à la portabilité (article 20) ne joue que pour un traitement automatisé fondé sur le consentement ou sur un contrat. Il exige en revanche un format structuré, couramment utilisé et lisible par machine. Un fichier JSON ou CSV ? Parfait. Un PDF de captures d'écran ? Non.

Pour un site ou une application, nous recommandons un export unique qui couvre les deux droits : un fichier lisible par machine, accompagné d'une page explicative reprenant les informations exigées au titre de l'accès. Un seul outil, et les deux demandes sont traitées.

Mettre en place l'export et la suppression : les étapes

Voici l'ordre que nous suivons sur les projets de nos clients. Chaque étape conditionne la suivante (à quoi bon coder un bouton « Supprimer mon compte » si vous ignorez où dorment les données ?).

Étape 1 : cartographier où se trouvent les données

Partez de votre registre des traitements. Pour chaque traitement, listez les tables de la base de données concernées, les fichiers stockés (pièces jointes, photos de profil) et les outils tiers qui reçoivent une copie : CRM, emailing, support, facturation, statistiques. C'est souvent à ce stade qu'apparaissent des doublons oubliés, comme cet export Excel qui traîne sur un poste.

Étape 2 : fixer une règle par type de donnée

Décidez, pour chaque donnée, de son sort en cas de demande : effacement, anonymisation ou conservation justifiée. Notez sa base légale et la durée de conservation des données applicable. Besoin de garder une donnée pour vos statistiques internes ? L'anonymisation est souvent la bonne réponse, puisqu'une donnée vraiment anonyme sort du champ du RGPD.

Étape 3 : ouvrir un canal de demande simple

Exercer ses droits doit rester facile. Avec un espace client, l'idéal tient en deux boutons dans les paramètres du compte : « Télécharger mes données » et « Supprimer mon compte ». Pas d'espace client ? Une adresse dédiée ou un formulaire mentionné dans votre politique de confidentialité suffit, à condition de ne pas réclamer plus d'informations que nécessaire.

Étape 4 : vérifier l'identité sans excès

Effacer le compte de quelqu'un d'autre serait une faute. En cas de doute raisonnable sur l'identité du demandeur, vous pouvez demander des informations complémentaires, mais restez proportionné. La demande vient d'un utilisateur connecté à son compte ? Sa session suffit en général. Exiger systématiquement une copie de pièce d'identité se justifie rarement.

Étape 5 : exécuter l'export puis l'effacement

Proposez d'abord l'export, puis lancez l'effacement dans un ordre qui ne laisse aucune donnée orpheline. Une procédure type ressemble à ceci :

• Générer l'export complet et le transmettre par un lien sécurisé à durée limitée.
• Désactiver le compte et stopper les envois d'emails.
• Supprimer ou anonymiser les données de la base principale, selon les règles fixées à l'étape 2.
• Propager la demande aux sous-traitants (emailing, CRM, support) via leur API ou leur interface.
• Purger les fichiers stockés et les caches.
• Consigner la date, le périmètre et les données conservées, avec leur justification.

Étape 6 : traiter les sauvegardes et les journaux

Vos sauvegardes, elles, contiennent encore les données effacées. Inutile en général de les modifier une à une, mais elles doivent expirer selon un cycle défini. Et si vous restaurez une sauvegarde, réappliquez les suppressions enregistrées entre-temps : d'où l'intérêt de tenir une liste des identifiants supprimés, sans aucune autre donnée personnelle associée. Même logique de rotation pour les journaux techniques (les logs serveur).

Étape 7 : répondre dans le délai

Vous disposez d'un mois à compter de la réception de la demande pour répondre. Demande complexe ou afflux de demandes ? Le délai peut être prolongé de deux mois, à condition d'en informer la personne, raisons à l'appui, dans le premier mois. La démarche est gratuite, sauf demande manifestement infondée ou excessive. Si vous refusez, donnez le motif et rappelez la possibilité de saisir la CNIL.

N'oubliez pas l'article 19 : chaque destinataire à qui les données ont été communiquées doit être informé de l'effacement, sauf impossibilité ou efforts disproportionnés. La personne peut d'ailleurs vous réclamer la liste de ces destinataires.

Ce qui fait varier l'effort, le coût et les pièges à éviter

Un prix moyen ? Nous n'en donnerons pas, faute de référence sérieuse pour ce type de développement. Tout dépend du nombre d'outils connectés, de la propreté de la base et du volume de demandes attendu. Chez RankerSquare, un site vitrine conçu pour votre activité démarre à 19,90 € par mois en abonnement ; l'ajout d'un espace client avec export et suppression automatisés se fait sur devis.

Les facteurs qui pèsent le plus

• Les outils tiers : chaque CRM ou plateforme d'emailing réclame sa propre intégration, ou une procédure manuelle.
• La structure de la base : plus les données sont dupliquées entre tables, plus les points à purger se multiplient.
• Manuel ou automatisé : quelques demandes par an se gèrent à la main depuis le back-office, alors qu'un flux régulier justifie un développement.
• Les contraintes métier : santé, mineurs, factures ou litiges imposent des règles fines.
• L'historique : un site ancien, construit sans penser au RGPD, exige souvent un nettoyage préalable.

Les pièges les plus fréquents

Premier piège, la suppression partielle. Le compte disparaît du site, mais l'adresse reste dans l'outil d'emailing… et la personne reçoit la newsletter suivante. C'est la plainte type ! Deuxième écueil, l'export illisible, envoyé en pièce jointe non protégée : mal sécurisé, il peut devenir une violation de données à notifier.

Troisième erreur : supprimer trop. Effacer une facture parce qu'un client l'a réclamé vous met en défaut face à vos obligations comptables. Enfin, une demande arrivée sur une adresse générique ne doit pas rester sans réponse, car le délai court quand même. Confiez le suivi de ces demandes à une personne précise, avec une procédure écrite.

Ce qu'il faut retenir avant de vous lancer

Loin d'être une contrainte isolée, le droit à l'effacement RGPD s'appuie sur ce que vous devriez déjà avoir : un registre à jour, des durées de conservation fixées, des sous-traitants identifiés. Ces bases en place, export et suppression deviennent une fonction de votre site parmi d'autres.

Votre outil métier ou votre espace client ne permet pas de le faire proprement ? C'est souvent le signe que son architecture est à revoir. Nous traitons ce point dès la conception lors d'une création de logiciel adaptée à vos process, pour que la conformité ne dépende pas de manipulations à la main dans la base.

Questions fréquentes