Vous avez fermé votre compte client, désinstallé l’application, cliqué sur le bouton de suppression. Quelques semaines plus tard, les messages commerciaux continuent d’arriver, une publicité vous cible avec une précision troublante, ou le service vous propose de « revenir » avec votre historique intact, comme si rien n’avait été effacé. Cette situation est l’une des plus fréquentes du contentieux des données personnelles : la suppression du compte ne provoque pas, à elle seule, la disparition des données. Le responsable du traitement peut conserver certaines informations parce qu’une loi l’y oblige, mais il lui est interdit de conserver l’ensemble de votre profil pour continuer à l’exploiter. La frontière entre ces deux situations décide de tout : ce que vous pouvez exiger, dans quel délai, devant qui, et avec quelle réparation en cas de refus.
Le droit européen vous donne des armes précises. Le règlement (UE) 2016/679 du 27 avril 2016, le règlement général sur la protection des données, organise un droit à l’effacement, un droit d’accès et un droit à la portabilité, avec des délais de réponse contraignants. La loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés prolonge ces droits en droit français. La Commission nationale de l’informatique et des libertés peut être saisie par une plainte, et le juge peut ordonner l’effacement sous astreinte puis indemniser le préjudice subi. Encore faut-il agir dans le bon ordre, viser le bon interlocuteur et conserver les preuves de chaque démarche. Cet article explique comment obtenir l’effacement réel de vos données après la suppression d’un compte, comment récupérer ce qui doit vous être restitué, et comment faire sanctionner l’organisme qui conserve vos données sans fondement.
I. Exiger l’effacement et la restitution de vos données après la suppression du compte
A. Faire effacer les données devenues inutiles une fois le compte fermé
La fermeture du compte fait en principe disparaître la raison d’être du traitement. Tant que le compte existait, le contrat justifiait la conservation de vos identifiants, de votre historique d’utilisation, de vos préférences et de vos moyens de contact : ces données étaient nécessaires à la fourniture du service. Une fois le compte supprimé à votre demande, cette nécessité disparaît pour l’essentiel. C’est le premier motif d’effacement prévu par le règlement : la personne concernée obtient l’effacement lorsque « les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière », selon le règlement (UE) 2016/679. Le responsable du traitement a alors l’obligation d’effacer ces données dans les meilleurs délais. En droit français, l’article 51 de la loi du 6 janvier 1978, dans sa rédaction issue de l’ordonnance du 12 décembre 2018 qui transpose le règlement européen, reprend ce mécanisme en renvoyant aux motifs et conditions de l’article 17 du règlement : toute personne identifiable « a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant », selon le règlement (UE) 2016/679.
D’autres motifs peuvent fonder votre demande. Si le traitement reposait sur votre consentement, son retrait prive le traitement de fondement dès lors qu’il n’existe pas d’autre base juridique. Si vos données font l’objet d’un traitement illicite, par exemple une réutilisation de votre profil à des fins publicitaires que vous n’avez jamais acceptées, l’effacement s’impose. Si vous vous opposez au traitement et que l’organisme ne démontre aucun motif légitime et impérieux de le poursuivre, l’effacement suit également. Enfin, lorsque des données ont été collectées alors que vous étiez mineur dans le cadre d’un service en ligne, le droit à l’effacement est renforcé. En pratique, une demande bien rédigée invoque le motif exact correspondant à votre situation plutôt qu’une formule générale : données devenues inutiles après la clôture, consentement retiré, opposition au profilage publicitaire, traitement sans base légale.
L’effacement n’est toutefois pas absolu, et c’est là que beaucoup de demandes échouent. La Commission nationale de l’informatique et des libertés prévient elle-même, sur sa page officielle consacrée au droit à l’effacement, que la suppression du compte n’entraîne pas celle des factures et des documents comptables liés aux achats, couverts par une obligation légale de conservation. Le commerçant doit conserver les pièces justificatives de ses opérations pendant la durée fixée par les obligations comptables et fiscales, et cette conservation ne constitue pas une violation : elle repose sur une obligation légale, qui fait échec au droit à l’effacement. De la même façon, l’organisme peut conserver les données nécessaires à la constatation, à l’exercice ou à la défense de ses droits en justice, par exemple pour répondre à une réclamation en cours ou à un litige né avant la clôture. La distinction à opérer est donc précise : les données conservées au titre d’une obligation légale ou d’un contentieux identifié sont légitimes, tandis que le profil marketing, l’historique de navigation, les préférences, la géolocalisation et les pièces d’identité conservées « au cas où » doivent disparaître.
Les limites tiennent aussi aux droits d’autrui et à l’information du public. La jurisprudence refuse l’effacement des archives de presse relatives à des condamnations dès lors que l’intérêt de l’information demeure : par un arrêt du 20 février 2025, la cour d’appel de Paris a confirmé le jugement qui rejetait la demande d’un ancien dirigeant tendant à faire supprimer un article relatant sa condamnation pénale, et a rejeté l’ensemble de ses demandes. De même, le déréférencement d’un moteur de recherche ne s’obtient pas automatiquement : par une ordonnance de référé du 16 janvier 2024, le tribunal judiciaire de Paris, saisi de demandes de déréférencement de vingt-neuf liens relatifs à une condamnation de 2017, a mis hors de cause la société Google France, étrangère à l’exploitation du moteur, et a rejeté les demandes formées en référé, faute de trouble manifestement illicite établi au regard de la balance entre vie privée et information du public. Ces décisions ne concernent pas le compte client ordinaire, mais elles fixent une méthode : l’effacement prospère quand les données sont devenues inutiles et qu’aucun intérêt légitime prépondérant ne justifie leur maintien, et il échoue quand le demandeur vise le mauvais responsable ou se heurte à un intérêt public réel. Pour un compte fermé, la balance penche normalement en votre faveur, sauf conservation ciblée et justifiée.
Concrètement, adressez votre demande au responsable du traitement, c’est-à-dire à l’organisme qui détermine les finalités et les moyens, et non à un simple prestataire technique ou à une filiale de support. Identifiez précisément les données visées : compte, profil, historique d’achats non comptables, données de navigation, coordonnées utilisées à des fins de prospection. Demandez l’effacement « dans les meilleurs délais » au sens de l’article 17, et exigez la confirmation écrite de l’effacement avec la liste des destinataires auxquels vos données avaient été communiquées et qui ont été avisés. Conservez une copie horodatée de votre demande et de la réponse : captures d’écran, accusé de réception du courrier, courriel conservé. Cette preuve conditionne la suite, plainte devant la Commission comme action en justice.
B. Récupérer vos données et les faire transférer avant qu’elles disparaissent
Avant ou parallèlement à l’effacement, exercez votre droit d’accès et votre droit à la portabilité. Le droit d’accès permet d’obtenir la confirmation que des données vous concernant sont traitées, d’y accéder et de recevoir des informations précises : finalités, catégories de données, destinataires, durée de conservation envisagée ou critères de détermination de cette durée, existence des droits de rectification, d’effacement, de limitation et d’opposition. C’est l’inventaire préalable indispensable : sans lui, vous ne savez pas ce que l’organisme conserve réellement après la suppression de votre compte, ni à qui il l’a transmis. Le règlement européen impose au responsable de répondre dans un cadre formalisé, et la lecture de cette réponse révèle souvent des conservations abusives : profil conservé pour « améliorer nos services », base de prospection alimentée malgré la clôture, données transmises à des partenaires sans information.
Le droit à la portabilité va plus loin : il permet de recevoir les données que vous avez fournies « dans un format structuré, couramment utilisé et lisible par machine », et de les transmettre à un autre responsable sans que le premier y fasse obstacle, toujours selon le même règlement. Deux conditions cumulatives encadrent ce droit : le traitement doit être fondé sur votre consentement ou sur un contrat, et il doit être effectué à l’aide de procédés automatisés. Le compte client en ligne remplit presque toujours ces deux conditions : contrat d’utilisation et traitement informatisé. Vous pouvez ainsi exiger la restitution de votre historique, de vos contenus, de vos listes et de vos paramètres, puis les faire transférer directement au service concurrent lorsque cela est techniquement possible. La portabilité ne remplace pas l’effacement : le règlement précise qu’elle s’exerce sans préjudice du droit à l’effacement, et elle ne porte pas atteinte aux droits des tiers. La séquence utile est donc la suivante : accès pour inventorier, portabilité pour récupérer, effacement pour faire disparaître ce qui reste.
Les modalités d’exercice sont strictement encadrées, et leur méconnaissance par l’organisme constitue déjà une violation. Le responsable doit vous répondre de façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, par écrit ou par voie électronique. Il doit procéder « dans les meilleurs délais » et, en tout état de cause, dans un délai d’un mois à compter de la réception de la demande, délai qui peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes, à condition de vous informer des motifs du report dans le délai initial. En pratique, comme le rappelle la Commission sur sa page dédiée, l’effacement doit intervenir dans les meilleurs délais et au plus tard sous un mois, délai qui peut être porté à trois mois lorsque la demande est complexe, à condition que l’organisme explique cette prolongation. L’exercice de ces droits est en principe gratuit. Si l’organisme doute raisonnablement de votre identité, il peut vous demander un justificatif, mais uniquement ce qui est strictement nécessaire : une copie de pièce d’identité réclamée systématiquement, ou des documents sans rapport avec la demande, sont abusifs et doivent être refusés.
Pensez également à l’opposition à la prospection. Après la clôture du compte, tout message commercial fondé sur vos anciennes données doit cesser dès votre opposition : en matière de prospection, le droit d’opposition est absolu, y compris lorsqu’il vise un profilage lié à cette prospection. Le responsable « ne traite plus les données à caractère personnel, à moins qu’il ne démontre qu’il existe des motifs légitimes et impérieux pour le traitement », disposition qui ne joue quasiment jamais en matière publicitaire, selon le règlement européen. Concrètement, conservez les messages reçus après votre demande : ils prouvent la poursuite du traitement et alimenteront la plainte comme la demande indemnitaire. Si un organisme ne répond pas à votre demande d’accès ou d’effacement, la méthode à suivre est décrite dans notre analyse consacrée aux organismes qui ne répondent pas aux demandes fondées sur le règlement européen : mise en demeure, plainte devant la Commission, puis saisine du juge.
II. Faire sanctionner le refus et obtenir réparation
A. Saisir la Commission et le juge face à l’organisme qui conserve vos données
En cas de réponse insatisfaisante ou d’absence de réponse dans le délai d’un mois, vous pouvez saisir la Commission nationale de l’informatique et des libertés par une plainte en ligne. Ce droit de réclamation est garanti par l’article 77 du règlement : toute personne peut saisir l’autorité de contrôle de son lieu de résidence, de son lieu de travail ou du lieu de la violation présumée, lorsqu’elle estime que le traitement de ses données viole le règlement, comme le prévoit le règlement (UE) 2016/679. La plainte doit être précédée de démarches préalables auprès de l’organisme, et c’est précisément pour cela que la conservation des preuves de vos demandes est décisive : la Commission examine la copie de votre demande, la réponse reçue ou l’absence de réponse, et les pièces établissant la conservation alléguée. L’autorité chargée de la plainte vous informe ensuite de l’état d’avancement et de l’issue de votre réclamation, y compris de la possibilité d’un recours contre elle-même.
Les pouvoirs de la Commission sont substantiels. Elle dispose de pouvoirs d’enquête, peut ordonner la mise en conformité, prononcer des injonctions de faire ou de ne pas faire, assorties le cas échéant d’astreintes, et imposer des amendes administratives qui doivent être dans chaque cas effectives, proportionnées et dissuasives. Pour fixer l’amende, elle tient compte notamment de la nature, de la gravité et de la durée de la violation, du nombre de personnes concernées, du degré de coopération et des mesures prises pour atténuer le dommage. La conservation massive de comptes soi-disant supprimés, combinée à une absence de réponse aux demandes d’effacement, concentre plusieurs facteurs d’aggravation : violation durable, nombre élevé de personnes, méconnaissance délibérée des droits. La sanction administrative ne vous indemnise pas directement, mais elle constate la violation, ordonne la mise en conformité et pèse dans la négociation comme devant le juge civil.
Le recours au juge reste ouvert à tout moment, sans préjudice de la plainte. L’article 79 du règlement garantit à chaque personne un recours juridictionnel effectif contre le responsable du traitement ou son sous-traitant lorsqu’elle estime que ses droits ont été violés, et l’action peut être portée devant les juridictions de l’État membre de votre résidence habituelle comme devant celles de l’établissement du responsable, selon le même règlement. Devant le tribunal judiciaire, vous pouvez demander une injonction d’effacer sous astreinte, la cessation de la prospection, la communication des destinataires avisés et l’indemnisation de votre préjudice. En cas d’urgence, le juge des référés peut ordonner les mesures propres à faire cesser un trouble manifestement illicite, par exemple la poursuite d’un profilage publicitaire après opposition ou la conservation de données sensibles sans aucun fondement. L’expérience du contentieux du déréférencement enseigne une prudence : visez le véritable responsable du traitement, celui qui détermine finalités et moyens, et non une entité de support sans rôle dans le traitement. Dans l’ordonnance parisienne de janvier 2024, la filiale française de marketing a été mise hors de cause parce qu’elle n’exploitait pas le moteur et ne déterminait aucun traitement : transposez cet enseignement au compte client en assignant l’éditeur du service, identifié dans les mentions légales et la politique de confidentialité, plutôt qu’un hébergeur ou un simple prestataire.
Articulez les deux voies avec méthode. La plainte devant la Commission est gratuite, ne nécessite pas d’avocat et produit une instruction administrative dont les constats serviront devant le juge. L’action judiciaire permet d’obtenir l’injonction sous astreinte et des dommages et intérêts, ce que la Commission ne peut pas vous accorder. Rien n’interdit de mener les deux en parallèle : déposez la plainte dès l’expiration du délai de réponse, faites constater la conservation par un commissaire de justice si les données restent visibles ou exploitées, puis assignez en invoquant la violation caractérisée. Si la Commission a déjà mis en demeure l’organisme ou prononcé une sanction sur des faits comparables, produisez cette décision : elle établit la connaissance par l’organisme de ses obligations et l’absence de diligence.
B. Obtenir la réparation du préjudice causé par la conservation abusive
Le droit à réparation est autonome : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi », énonce l’article 82 du règlement européen. Trois éléments se combinent donc : une violation du règlement, un dommage et un lien entre les deux. La violation peut consister dans le refus d’effacement, le dépassement du délai de réponse, la poursuite de la prospection après opposition, la transmission de vos données à des tiers après la clôture ou l’absence de sécurité ayant exposé votre ancien profil. Le dommage peut être matériel, par exemple des frais engagés, une usurpation d’identité née de la conservation, ou moral : perte de contrôle sur vos données, anxiété liée à l’exploitation de votre profil, temps considérable passé à faire valoir vos droits face à un organisme silencieux.
La Cour de justice de l’Union européenne a précisé le régime de cette réparation dans un arrêt du 4 mai 2023, Österreichische Post, affaire C-300/21, dont le texte intégral figure sur EUR-Lex. Elle juge d’abord que la seule violation du règlement ne suffit pas : il faut démontrer un dommage réel, fût-il moral, et son lien avec la violation. Elle écarte ensuite toute condition nationale subordonnant la réparation du dommage moral à un seuil de gravité : aucun degré minimal de gravité ne peut être exigé pour le préjudice moral. Elle laisse enfin aux juges nationaux le soin de fixer le montant selon leurs propres règles, dans le respect des principes d’équivalence et d’effectivité du droit de l’Union. Concrètement, vous n’avez pas à démontrer un préjudice spectaculaire : la perte de contrôle durable sur vos données personnelles, la réception persistante de prospection après opposition, la découverte que votre profil a été transmis à des partenaires ou l’angoisse liée à la conservation de pièces d’identité constituent des dommages moraux indemnisables dès lors qu’ils sont établis et rattachés à la violation.
La preuve du dommage mérite une attention particulière car les juridictions restent exigeantes sur son établissement. Conservez les messages commerciaux reçus après la clôture avec leurs en-têtes, les captures montrant votre profil toujours actif ou vos données toujours visibles, les réponses évasives ou l’absence de réponse de l’organisme, les relevés attestant de transmissions à des tiers, et tout élément médical ou attestation en cas d’anxiété avérée. Chiffrez vos demandes avec mesure : frais justifiés au réel, préjudice moral proportionné à la durée de la violation, au caractère sensible des données conservées et au comportement de l’organisme. Un organisme qui ignore une demande claire, conserve des données sensibles et poursuit la prospection s’expose davantage qu’un organisme qui répond avec retard mais efface ensuite. Sollicitez également la publication ou la notification de la décision aux destinataires de vos données : l’effacement ne vaut que s’il est propagé à ceux à qui le responsable avait communiqué les données, et le juge peut l’ordonner.
N’oubliez pas le sous-traitant. Lorsque la conservation abusive résulte du prestataire technique qui héberge ou exploite les données pour le compte de l’éditeur, l’article 82 permet d’agir contre le responsable comme contre le sous-traitant, ce dernier répondant lorsqu’il a méconnu les obligations qui lui incombent directement ou agi hors des instructions licites du responsable. En pratique, dirigez l’action principale contre l’éditeur du service, responsable du traitement, et appelez le prestataire en garantie ou en responsabilité conjointe lorsque les pièces montrent son rôle propre. Cette articulation contractuelle et délictuelle, fréquente dans les litiges de prestations informatiques et de cloud, évite que chacun renvoie la faute à l’autre pendant que vos données continuent de circuler.
En résumé, la suppression du compte ouvre trois droits successifs : savoir ce qui est conservé, récupérer ce qui vous appartient, faire effacer ce qui doit disparaître. L’organisme qui refuse ou se tait s’expose à la plainte devant la Commission, à l’injonction du juge sous astreinte et à l’indemnisation de votre préjudice moral sans seuil de gravité. La clé du succès tient à la rigueur procédurale : demande précise et horodatée au bon responsable, conservation de toutes les preuves, plainte dans la foulée du délai d’un mois, puis action judiciaire chiffrée et documentée.
Besoin d’un avis rapide sur votre dossier
Vous souhaitez obtenir l’effacement de vos données après la suppression d’un compte, récupérer votre historique ou faire cesser une prospection persistante ? Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier en numérique et données personnelles et vous indique la stratégie adaptée : demande d’effacement et de portabilité, plainte devant la CNIL, injonction sous astreinte et réparation de votre préjudice. Consultation téléphonique en 48 heures avec un avocat du cabinet. Appelez le 06 46 60 58 22 ou écrivez via le formulaire de contact.