Vous avez résilié votre abonnement, fermé votre compte, parfois depuis des mois. Pourtant les courriels commerciaux continuent d’arriver, votre carte bancaire reste enregistrée dans l’espace client et, certains jours, le compte semble même se réactiver tout seul. Cette situation, très fréquente sur les sites de commerce en ligne, les plateformes d’abonnement et les applications de services, n’est pas une fatalité technique. La fermeture du compte éteint la finalité qui justifiait la conservation de la plupart de vos données, et le site doit alors effacer, désinscrire et cesser de prospecter. Quand il refuse ou se tait, le droit européen et la Commission nationale de l’informatique et des libertés (CNIL) offrent une escalade précise : demande tracée, plainte devant la CNIL, juge et indemnisation. Cet article explique ce que le site doit effacer et quand, comment formuler la demande qui produit des effets, quel sort réserver à la carte bancaire enregistrée et comment stopper une prospection qui survit à la résiliation.
I. Votre compte est fermé, vos données doivent suivre, sauf ce que la loi autorise à garder
A. Ce que le site doit effacer après la résiliation, et dans quel délai
Le règlement (UE) 2016/679, dit règlement général sur la protection des données (RGPD), donne à toute personne le droit d’obtenir « l’effacement, dans les meilleurs délais » de ses données personnelles, lorsque l’un des motifs prévus par son article 17 s’applique. Le texte figure au Journal officiel de l’Union européenne sous la référence CELEX:32016R0679. Plusieurs de ces motifs visent directement le compte fermé : les données « ne sont plus nécessaires » au regard des finalités de la collecte, la personne « retire le consentement » sans autre fondement juridique, elle « s’oppose au traitement » sans motif légitime impérieux du responsable, ou les données ont fait l’objet d’un « traitement illicite ». Quand vous résiliez un abonnement ou supprimez un compte, la finalité principale — fournir le service, gérer l’abonnement, personnaliser l’expérience — disparaît avec le contrat. Le profil client, l’historique de navigation et d’achats utilisé à des fins de recommandation, les préférences, les messages échangés avec le service client au-delà de ce qui reste nécessaire : tout cela devient, par principe, effaçable.
Le même règlement encadre la réponse. Le responsable du traitement fournit « des informations sur les mesures prises » à la suite d’une demande, « dans un délai d’un mois » à compter de sa réception, délai qui peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes, à charge d’en informer la personne. La CNIL le résume en pratique : l’effacement intervient « dans un délai d’un mois », prolongeable en cas de demande complexe moyennant information de la personne, et faute de réponse satisfaisante sous un mois, la CNIL invite à la saisir en ligne. Ces indications figurent sur la page de la CNIL consacrée au droit à l’effacement. Concrètement, un site qui laisse votre demande sans réponse pendant plusieurs semaines se place déjà en manquement, avant même tout débat sur le fond.
Tout ne s’efface pas pour autant, et connaître les exceptions évite de formuler une demande excessive que le site rejettera à bon droit. La CNIL rappelle les limites : le respect d’une obligation légale, par exemple l’obligation de conserver une facture dix ans, l’exercice du droit à la liberté d’expression et d’information, des motifs d’intérêt public dans le domaine de la santé, ou encore des fins archivistiques, de recherche ou statistiques. Pour un site marchand, cela signifie qu’il peut — et doit parfois — conserver les factures et les pièces comptables pendant dix ans, ainsi que les éléments nécessaires à la preuve des transactions en cas de litige. En revanche, ces obligations ne justifient ni la conservation du profil marketing complet, ni le maintien de la carte bancaire enregistrée, ni la poursuite des courriels commerciaux. Chaque catégorie de données doit être rattachée à sa propre finalité et à sa propre durée : la comptabilité garde la facture, elle ne garde pas vos goûts, vos paniers abandonnés ou votre cryptogramme.
Le prix du silence est illustré par une décision récente du Conseil d’État. Par une décision du 26 septembre 2024, prise en procédure simplifiée, la CNIL avait infligé à la société Timework-it une amende administrative de 15 000 euros et lui avait enjoint, sous astreinte de 50 euros par jour de retard, de répondre à la demande d’effacement d’un particulier qui voulait « limiter les prospections dont il faisait l’objet ». L’intéressé avait écrit les 12 octobre et 17 novembre 2022 sans obtenir de réponse ; la CNIL avait rappelé la société à ses obligations le 22 décembre 2022, l’avait relancée le 23 mai 2023, puis le 9 octobre 2023, avant une mise en demeure du 15 janvier 2024, elle aussi restée sans suite. Ce n’est que le 25 novembre 2024, après la sanction, que la société a annoncé l’effacement. Saisi du recours, le Conseil d’État l’a rejeté le 28 novembre 2025 : le responsable avait méconnu son obligation de répondre en vertu de l’article 12, paragraphe 3, et de l’article 17 du RGPD, ainsi que son devoir de coopération avec la CNIL prévu par l’article 31 du RGPD et l’article 18 de la loi du 6 janvier 1978. L’arrêt relève une « négligence prolongée » et écarte l’excuse technique — des messages adressés à une adresse générique auraient été filtrés en indésirables « en raison d’un mauvais paramétrage » — comme l’absence d’explication sérieuse sur les courriers de la CNIL restés sans réponse. La décision, rendue sous le numéro 499566, est consultable ici sur Légifrance, y compris le rejet des conclusions présentées sur le fondement de l’article L. 761-1 du Code de justice administrative. La leçon pour le consommateur est directe : face à un site qui ne répond pas, chaque relance ignorée alourdit le dossier de la CNIL au lieu de l’alléger.
La conservation excessive après la fin d’une relation a également été sanctionnée par le juge judiciaire. Dans un arrêt du 20 mars 2025 (RG 24/02397), la cour d’appel de Montpellier a jugé que le maintien, pendant près d’un an après le départ de trois salariés, de leurs messageries professionnelles actives et consultables, sans motif impérieux établi, méconnaissait le principe de finalité combiné aux principes de minimisation et de limitation de la conservation. La cour a retenu un trouble manifestement illicite, infirmé l’ordonnance de référé et condamné la société à rendre les comptes inactifs et à les supprimer dans un délai de huit jours à compter de la signification, sous astreinte provisoire de 500 euros par jour de retard pendant six mois — l’astreinte pouvant être ordonnée car « Tout juge peut, même d’office, ordonner une astreinte pour assurer l’exécution de sa décision » (article L. 131-1 du Code des procédures civiles d’exécution sur Légifrance) — outre 3 000 euros au titre de l’article 700 du Code de procédure civile sur Légifrance. Le raisonnement est transposable au compte client conservé après résiliation : une fois la relation terminée, garder l’intégralité des données « au cas où » n’est ni une finalité, ni une minimisation, ni une durée limitée. Et le référé, juge de l’évidence, peut ordonner la suppression sous astreinte quand le caractère illicite du maintien est manifeste.
B. La demande qui fait réagir : identifier, tracer, dater, relancer
Une demande efficace commence par l’identification du bon interlocuteur. Les mentions légales et la politique de confidentialité du site désignent le responsable du traitement et, souvent, un délégué à la protection des données (DPO) avec une adresse dédiée. Écrivez aux deux adresses si elles existent : le DPO fait remonter en interne, le service client exécute. Formulez une demande unique et complète plutôt que plusieurs messages épars : résiliation du contrat et fermeture du compte si ce n’est pas déjà fait, effacement des données sur le fondement de l’article 17 du RGPD avec la liste précise des catégories visées — données du compte, historique d’achats utilisé à des fins commerciales, données de navigation et de profilage, données de la carte bancaire enregistrée, données utilisées à des fins de prospection — et opposition à tout traitement à des fins de prospection sur le fondement de l’article 21. Une demande précise empêche le site de répondre à côté : un accusé de réception qui confirme la fermeture du compte sans traiter l’effacement ni l’opposition n’est pas une réponse satisfaisante.
Le support compte autant que le contenu. Depuis le 1er juin 2023, lorsqu’un contrat a été conclu par voie électronique, ou lorsque le professionnel offre la possibilité de conclure des contrats par voie électronique, « le professionnel met à la disposition du consommateur une fonctionnalité gratuite permettant d’accomplir, par voie électronique, la notification et les démarches nécessaires à la résiliation du contrat », et il doit ensuite confirmer la réception puis informer le consommateur, « sur un support durable et dans des délais raisonnables, de la date à laquelle le contrat prend fin et des effets de la résiliation ». C’est l’article L. 215-1-1 du Code de la consommation, consultable ici sur Légifrance, qui organise cette résiliation dite en trois clics. Conservez cette confirmation : elle prouve la date de fin du contrat et fait courir le délai d’un mois imparti au site pour répondre sur l’effacement. Doublez toujours la démarche en ligne d’un message conservé — courriel avec accusé, formulaire avec copie d’écran horodatée — et, en cas de silence, d’une lettre recommandée avec accusé de réception. Le dossier Timework-it montre que la CNIL et le juge examinent la chronologie au jour près : demandes datées, rappels datés, mise en demeure datée.
Si vous ignorez ce que le site conserve exactement, commencez par un droit d’accès avant l’effacement. L’article 15 du RGPD permet d’obtenir la confirmation que des données vous concernant sont traitées, l’accès à ces données et des informations comme « les finalités du traitement », les catégories de données concernées, les destinataires et la durée de conservation envisagée ou les critères utilisés pour la déterminer. Cette photographie, exigée avant toute négociation, évite deux erreurs symétriques : demander trop peu et laisser des traitements en place, ou demander l’impossible et s’exposer à un refus motivé sur les factures ou la preuve des litiges. La méthode pas à pas — accéder, puis exiger l’effacement de ce qui doit disparaître — est détaillée dans notre analyse du droit d’accès quand l’organisme ne répond pas, avec les mêmes escalades devant la CNIL et le juge.
Organisez ensuite les délais sans laisser le dossier s’enliser. À un mois sans réponse complète, relancez en rappelant la date de la demande initiale et le délai écoulé. Documentez la persistance : captures d’écran datées de l’espace client encore accessible, courriels commerciaux reçus après la résiliation avec leurs en-têtes, relevés montrant un prélèvement postérieur, enregistrement persistant de la carte bancaire. Faites constater par commissaire de justice les éléments que le site pourrait effacer entre-temps, comme l’a fait avec succès la pratique des constats en ligne. Puis saisissez la CNIL en joignant l’ensemble : la plainte en ligne est gratuite et le dossier Timework-it prouve qu’une demande individuelle ignorée, une fois étayée, peut conduire à une sanction et à une injonction sous astreinte. N’acceptez ni les frais de suppression, ni le parcours d’obstacles — renvoi vers une adresse introuvable, exigence de pièces sans rapport avec l’identification, formulaire qui échoue systématiquement : le responsable doit « faciliter l’exercice des droits », et l’obstacle organisé est un manquement supplémentaire, pas une fin de non-recevoir.
II. Carte bancaire encore enregistrée et courriels qui continuent : deux contentieux distincts à traiter ensemble
A. Votre carte bancaire ne peut pas rester enregistrée sans votre accord explicite
La conservation du numéro de carte bancaire après la fin de la relation obéit à des règles plus strictes encore que l’effacement général, et c’est souvent le point le plus sensible du dossier. La position de la CNIL, fixée par sa délibération n° 2018-303 du 6 septembre 2018 et détaillée sur sa page consacrée au paiement à distance par carte bancaire, tient en un principe : par défaut, pas de conservation au-delà de la transaction. La date d’expiration et le cryptogramme visuel ne doivent pas être conservés au-delà de la transaction, et les commerçants doivent recueillir le consentement des clients pour toute conservation au-delà, afin de faciliter leurs achats ultérieurs. Ce consentement « ne se présume pas » : il doit prendre la forme d’« un acte de volonté univoque », par exemple une case à cocher non pré-cochée par défaut. Le site doit en outre permettre « facilement et à tout moment » la suppression des données bancaires sur le site marchand, tenir compte durablement du refus exprimé et mettre en œuvre des mesures de sécurité appropriées.
La CNIL verrouille particulièrement le cas de l’achat ponctuel et de l’achat dit en « un clic ». Conserver le numéro de carte pour faciliter d’éventuels paiements ultérieurs va au-delà de l’exécution du contrat conclu et du service attendu lors d’un achat ponctuel en ligne. Autrement dit, le contrat exécuté ne sert plus de fondement une fois le paiement réalisé. Pour que la conservation par défaut soit admise, l’intention du client de s’inscrire dans une relation commerciale régulière doit être manifeste et se traduire par la souscription d’un service distinct facilitant les achats ; la simple création d’un compte client ou l’inscription à un programme de fidélité ne suffit pas. Si vous achetiez ponctuellement et que le site a conservé votre carte sans vous demander un accord clair, le manquement est caractérisé dès la conservation, indépendamment de tout usage ultérieur.
Le Conseil d’État a confirmé cette analyse dans un arrêt du 10 décembre 2020 rendu sur le recours de la société Cdiscount contre la délibération de la CNIL, consultable ici sur Légifrance sous le numéro 429571. La haute juridiction juge que « la conservation du numéro de carte bancaire ne saurait se justifier une fois ce contrat exécuté », et que l’intérêt légitime invoqué — faciliter les paiements ultérieurs en dispensant le client de ressaisir son numéro, notamment via l’achat en un clic — « ne saurait prévaloir sur l’intérêt des clients de protéger ces données, compte tenu de la sensibilité de ces informations bancaires et des préjudices susceptibles de résulter pour eux de leur captation et d’une utilisation détournée », d’autant que les clients ponctuels « ne peuvent raisonnablement s’attendre à ce que les entreprises concernées conservent de telles données sans leur consentement ». Conclusion du juge : « la CNIL a pu à bon droit estimer que, de façon générale, devait être soumise au consentement explicite de la personne concernée la conservation des numéros de cartes bancaires des clients des sites de commerce en ligne pour faciliter des achats ultérieurs ». Cette exigence a ensuite été harmonisée au niveau européen : le 19 mai 2021, le Comité européen de la protection des données a adopté des recommandations consacrant la position française, comme le relate la CNIL dans son communiqué du 31 août 2021, avec l’exigence d’une case à cocher non pré-cochée par défaut.
En pratique, traitez la carte bancaire comme un dossier dans le dossier. Vérifiez dans l’espace de paiement du site si le numéro reste enregistré et si une suppression en ligne est proposée ; utilisez-la et conservez la preuve. Demandez par écrit la suppression des données de la carte, l’attestation de suppression et la base juridique de toute conservation résiduelle. Surveillez vos relevés : un prélèvement postérieur à la résiliation doit être contesté à la fois auprès du site et auprès de votre banque, par une opposition ciblée sur le mandat concerné, sans clôturer aveuglément la carte. Si le site soutient qu’il conserve la carte « pour faciliter vos prochains achats » alors que vous avez résilié et refusé cette conservation, opposez-lui la jurisprudence Cdiscount et la position CNIL : sans consentement explicite, cette conservation est illicite. Joignez ce volet à la plainte CNIL et à l’action en justice : la sensibilité des données bancaires pèse lourd dans l’appréciation de la gravité, donc dans la sanction comme dans l’indemnisation.
B. La prospection qui continue après votre opposition : le régime le plus strict du RGPD
Le second volet ne se confond pas avec le premier : même un site qui effacerait correctement le compte ne peut pas continuer à vous prospecter après votre opposition. L’article 21 du RGPD donne « le droit de s’opposer à tout moment » au traitement à des fins de prospection, y compris au profilage lié à cette prospection : dès l’opposition exprimée, les données « ne sont plus traitées à ces fins ». Contrairement à l’opposition générale, qui ouvre un débat sur les motifs légitimes et impérieux du responsable, l’opposition à la prospection est absolue : dès qu’elle est exprimée, la prospection doit cesser. Le texte figure au Journal officiel de l’Union européenne sous la référence CELEX:32016R0679, et la CNIL en détaille l’exercice sur sa page consacrée au droit d’opposition. Rappelons que le dossier Timework-it naissait précisément de demandes destinées à « limiter les prospections » : la prospection persistante après opposition est l’un des manquements que la CNIL sanctionne le plus fermement, parce que la règle est simple et l’attente du consommateur évidente.
La preuve de la prospection persistante se construit avec méthode. Conservez chaque message reçu après l’opposition avec sa date, son expéditeur et son contenu, y compris les SMS et les notifications applicatives si l’application est censée être désinstallée ou le compte fermé. Pour les messages automatisés, le Code des postes et des communications électroniques vise les courriels adressés à une personne qui « n’a pas exprimé préalablement » « son consentement à recevoir des prospections directes » par ce moyen (article L. 34-5 sur Légifrance). Testez le lien de désinscription et documentez son inefficacité par des captures horodatées : lien absent, lien qui mène à une erreur, désinscription qui ne produit aucun effet, case qui se recoche seule, nouveau message reçu quelques jours après une désinscription confirmée. Ces éléments établissent à la fois la poursuite du traitement malgré l’opposition et, souvent, le caractère défaillant du mécanisme d’opposition lui-même, alors que le droit doit être « explicitement porté à l’attention » de la personne et « présenté clairement et séparément ». Pour la résiliation des contrats de communications électroniques et services voisins, le site Service-Public rappelle que la confirmation de résiliation doit être adressée « sur un support durable » : conservez-la, car elle date le moment à partir duquel toute prospection fondée sur la relation contractuelle devient suspecte. La fiche est consultable ici sur Service-Public.
L’escalade combine alors trois voies qui se renforcent mutuellement. D’abord la réclamation devant la CNIL : l’article 77 du RGPD donne à toute personne le droit d’introduire « une réclamation auprès d’une autorité de contrôle », dans l’État de sa résidence, de son travail ou du lieu de la violation présumée. La CNIL peut rappeler à l’ordre, mettre en demeure, prononcer une amende — jusqu’à des montants dissuasifs selon les critères de l’article 83 — et enjoindre sous astreinte, comme dans l’affaire Timework-it. Ensuite le recours juridictionnel contre le responsable : l’article 79 ouvre à « chaque personne concernée » un « droit à un recours juridictionnel effectif » quand ses droits ont été violés. En urgence, le juge des référés peut, « même en présence d’une contestation sérieuse, prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite » (article 835 du Code de procédure civile sur Légifrance), et assortir sa décision d’une astreinte, sur le modèle de l’arrêt de Montpellier cité plus haut. Enfin l’indemnisation : l’article 82 ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation le droit d’obtenir « réparation du préjudice subi ». Chiffrez les deux postes : le matériel — achats non voulus après relance, temps passé, frais de constat, prélèvements indus — et le moral — lassitude face au harcèlement commercial, inquiétude liée à la carte conservée, sentiment de perte de contrôle. L’existence d’une sanction CNIL, d’une injonction inexécutée ou d’une conservation bancaire sans consentement nourrit directement l’évaluation du préjudice par le juge.
Conclusion
Un compte résilié n’est pas un compte endormi que le site peut réveiller à sa convenance. Retenez la séquence qui transforme une situation subie en dossier gagnable. D’abord, fermez proprement : résiliation via la fonctionnalité en ligne, confirmation sur support durable conservée, demande unique et complète d’effacement et d’opposition adressée au responsable et au DPO. Ensuite, photographiez : droit d’accès pour savoir ce qui est gardé, captures et constats de ce qui persiste — compte accessible, carte enregistrée, messages reçus. Puis imposez le calendrier : un mois pour une réponse complète, relance à l’échéance, plainte CNIL étayée en cas de silence ou de refus. Enfin, si la prospection continue ou si la carte reste enregistrée sans consentement explicite, portez le litige devant le juge : cessation sous astreinte en référé et réparation du préjudice matériel et moral sur le fondement de l’article 82. Les décisions Timework-it et Cdiscount montrent que ni l’excuse technique ni l’intérêt commercial du site ne prévalent sur vos droits, et l’arrêt de Montpellier rappelle qu’une conservation excessive après la fin de la relation constitue un trouble manifestement illicite. Un dossier daté, complet et gradué obtient l’effacement ; un dossier dispersé obtient le silence. Choisissez le premier.
Besoin d’un avis rapide sur votre dossier.
Votre compte est résilié mais le site garde vos données ou votre carte bancaire, ou la prospection continue malgré votre opposition. Obtenez une consultation téléphonique en 48 heures avec Maître Reda KOHEN, avocat au Barreau de Paris, pour qualifier vos demandes d’effacement et d’opposition, organiser vos preuves et saisir la CNIL ou le juge. Appelez le 06 46 60 58 22 ou écrivez via la page contact du cabinet.