Vous avez fermé votre compte client, résilié l’abonnement, désinstallé l’application. Quelques semaines plus tard, les courriels commerciaux continuent d’arriver, votre profil reste visible ou le service client vous confirme que vos données sont « archivées » sans date de suppression. Cette situation, très fréquente avec les sites de commerce en ligne, les plateformes d’abonnement et les applications mobiles, n’a rien d’une fatalité technique. Quand le compte est supprimé, la conservation des données personnelles devient l’exception, pas la règle, et le client dispose d’une procédure graduée pour l’imposer : demande d’effacement, plainte devant la CNIL, puis action devant le juge avec réparation du préjudice.
Le raisonnement tient en trois temps. D’abord, identifier le traitement en cause : quelles données, conservées par qui, sur quel fondement, pour quelle durée. Ensuite, adresser une demande d’effacement qui oblige le responsable du traitement à répondre dans un délai d’un mois. Enfin, si le site refuse ou garde le silence, saisir la CNIL puis le tribunal judiciaire pour obtenir l’effacement sous astreinte et des dommages-intérêts. La CNIL elle-même vise expressément le cas du client qui ne souhaite plus bénéficier des services d’un site de commerce en ligne parmi les situations relevant du droit à l’effacement, et elle a montré le 13 janvier 2026 avec deux sanctions de 27 et 15 millions d’euros contre Free Mobile et Free que les manquements aux obligations du RGPD coûtent cher aux professionnels.
Le cadre applicable tient à la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, dans sa rédaction applicable depuis le 1er juin 2019, dont l’article 51 fixe les conditions françaises du droit à l’effacement et l’article 20 les avertissements et mises en demeure préalables. Cet article décrit la méthode complète : les cas où le site doit effacer, la demande qui déclenche le délai d’un mois, le recours devant la CNIL qui se prononce en trois semaines, et l’action en justice qui permet d’obtenir l’effacement et la réparation. Il distingue aussi ce que le site peut légitimement conserver, notamment les factures et les données exigées par la loi, afin d’adresser une demande crédible et vérifiable.
I. Exiger l’effacement de vos données quand le compte client est fermé
A. Quand le site doit-il effacer vos données après la suppression du compte ?
Le droit à l’effacement, souvent appelé droit à l’oubli, figure à l’article 17 du règlement (UE) 2016/679 du 27 avril 2016, le RGPD : « La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais, lorsque l’un des motifs suivants s’applique ». En droit français, l’article 51 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés précise que « Le droit à l’effacement s’exerce dans les conditions prévues à l’article 17 du règlement (UE) 2016/679 du 27 avril 2016 ».
Après la fermeture d’un compte client, le premier motif d’effacement est presque toujours rempli : « les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière ». Un compte créé pour commander, s’abonner ou jouer en ligne n’a plus de raison de subsister comme fichier actif une fois la relation terminée. Les nom, adresse, numéro de téléphone, adresse électronique, historique d’achat et préférences ne peuvent pas être conservés « au cas où » le client reviendrait, ni pour constituer un vivier de prospection sans base légale. La conservation doit être limitée à ce qui est nécessaire, et la charge de justifier chaque durée pèse sur le professionnel, pas sur l’ancien client.
Le deuxième motif fréquent vise le consentement retiré : « la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l’article 6, paragraphe 1, point a), ou à l’article 9, paragraphe 2, point a), et il n’existe pas d’autre fondement juridique au traitement ». Concrètement, si les lettres d’information, les offres personnalisées ou le partage avec des partenaires reposaient sur votre accord, le retrait de cet accord prive ces traitements de fondement. Le site doit alors cesser la prospection et effacer les données qui ne servaient qu’à cela. Le retrait du consentement ne rétroagit pas, mais il impose l’arrêt pour l’avenir, et la poursuite des envois après un désabonnement caractérise une violation distincte.
Le troisième levier est l’opposition, notamment contre la prospection : « Lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s’opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection ». Et dans ce cas, « les données à caractère personnel ne sont plus traitées à ces fins ». Un lien de désinscription qui ne fonctionne pas, une case d’opposition ignorée ou une relance envoyée depuis une autre marque du même groupe après votre refus suffisent à caractériser le manquement. Pour les traitements fondés sur l’intérêt légitime, comme la conservation d’un profil d’ancien client à des fins statistiques ou de prévention de la fraude, l’opposition liée à votre situation particulière oblige le professionnel à démontrer un motif légitime impérieux, faute de quoi il doit cesser et effacer.
Le quatrième motif concerne les données traitées illicitement : « les données à caractère personnel ont fait l’objet d’un traitement illicite ». Entrent dans ce cas la collecte sans base légale, la conservation au-delà des durées annoncées dans la politique de confidentialité, la transmission à des partenaires jamais mentionnés, ou la réactivation d’un compte que vous aviez demandé de supprimer. Chaque écart entre ce que le site avait promis et ce qu’il a fait renforce la demande d’effacement et, plus tard, la demande de réparation.
Il faut cependant distinguer ce que le site doit effacer de ce qu’il peut conserver. L’article 17 ne s’applique pas « pour respecter une obligation légale qui requiert le traitement prévue par le droit de l’Union ou par le droit de l’État membre auquel le responsable du traitement est soumis », ni « à la constatation, à l’exercice ou à la défense de droits en justice ». Les factures, par exemple, doivent être conservées dix ans à des fins comptables et fiscales. Mais cette exception se lit strictement : le site peut archiver la facture, pas conserver l’intégralité du profil actif, l’historique de navigation, les préférences et les coordonnées de prospection. Exigez donc l’effacement du compte et des données de prospection tout en admettant, dans votre courrier, la conservation des seules pièces légalement imposées. Cette précision rend la demande sérieuse et prive le professionnel de son excuse favorite, celle d’une prétendue obligation de tout garder.
Avant d’écrire, rassemblez les pièces qui feront la force du dossier. Capturez la politique de confidentialité et ses durées de conservation affichées, conservez le courriel de confirmation de fermeture du compte, les relances reçues après cette date, les copies d’écran du profil toujours accessible et les échanges avec le service client. Notez les dates avec précision : date de clôture, date des relances, date de la demande. Relevez aussi les destinataires auxquels vos données ont été transmises, car le responsable du traitement doit avertir chacun d’eux de l’effacement, sauf impossibilité ou effort disproportionné. Ce travail préparatoire prend une heure et conditionne toute la suite : une demande datée, prouvée et ciblée se défend devant la CNIL comme devant le juge.
B. Comment adresser la demande qui oblige le site à répondre en un mois ?
Le RGPD impose au professionnel de faciliter l’exercice des droits et de répondre vite. L’article 12 du RGPD dispose que « Le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d’une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande ». Ce délai peut être prolongé de deux mois pour les demandes complexes, mais le professionnel doit alors vous prévenir dans le premier mois et motiver le report. S’il refuse d’agir, « il informe celle-ci sans tarder et au plus tard dans un délai d’un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel ». Le silence gardé pendant un mois équivaut donc à un refus et ouvre la voie du recours.
La CNIL publie des modèles de courrier pour exercer ces droits et explique comment répondre aux demandes de suppression côté professionnel, ce qui permet de calibrer votre demande sur les propres exigences de l’autorité. Adressez-la au délégué à la protection des données quand ses coordonnées figurent dans la politique de confidentialité, avec copie au service client. Privilégiez un canal qui laisse une preuve de réception : formulaire avec accusé, courriel avec accusé de réception, ou lettre recommandée avec avis de réception pour les organismes qui ignorent les messages électroniques. Indiquez vos nom, prénom et l’adresse électronique du compte afin que le site vous identifie sans demander de pièce d’identité disproportionnée ; le professionnel ne peut exiger un justificatif d’identité que s’il a un doute raisonnable sur votre identité, et il doit limiter ce contrôle au strict nécessaire.
Le contenu du courrier doit être précis et complet. Rappelez la date de fermeture du compte, visez l’article 17 du RGPD et l’article 51 de la loi du 6 janvier 1978, et listez les données visées : compte, profil, coordonnées, historique, préférences, données de prospection. Demandez l’effacement « dans les meilleurs délais », la confirmation écrite de l’effacement avec sa date, la liste des destinataires informés de cet effacement, et la cessation immédiate de toute prospection en vertu de l’article 21 du RGPD. Ajoutez que vous conservez copie des relances reçues après la clôture et que, sans réponse dans un mois, vous saisirez la CNIL puis le juge. Cette annonce n’est pas une menace en l’air : elle décrit exactement la procédure que la loi organise, et les services juridiques des plateformes la connaissent.
Anticipez les réponses dilatoires. La plus courante consiste à vous renvoyer vers un parcours en ligne qui échoue ou à exiger des pièces nouvelles à chaque message pour faire courir le temps. Répondez une fois, fournissez strictement le nécessaire, puis laissez le délai d’un mois s’épuiser sans multiplier les relances qui brouillent la date de départ. Une autre réponse fréquente invoque une conservation « pour la sécurité » ou « pour nos archives » sans viser aucun texte : exigez par retour la base légale exacte, la durée précise et la catégorie de données concernée, car une conservation indéterminée ne satisfait aucune obligation légale. Si le site propose une simple désactivation avec réactivation possible au lieu d’un effacement, refusez par écrit : un compte désactivé mais conservé intégralement n’est pas un compte effacé, et vos données continuent d’être traitées.
Pendant ce mois, ne détruisez aucune preuve et cessez d’utiliser le compte, dont toute reconnexion pourrait être interprétée comme une reprise de la relation. Si le site efface effectivement et vous le confirme, vérifiez : tentez de vous reconnecter, contrôlez la disparition du profil public, guettez les relances pendant quelques semaines. Une confirmation d’effacement suivie de nouvelles prospections depuis la même base caractérise un nouveau manquement et justifie à elle seule la saisine de la CNIL. Si le mois s’écoule sans réponse ou avec un refus, passez sans attendre à l’étape suivante : la loi vous donne alors expressément le droit de saisir l’autorité de contrôle, et l’inertie du professionnel jouera contre lui.
II. Faire sanctionner le refus et obtenir réparation de votre préjudice
A. Comment saisir la CNIL et obtenir une décision en trois semaines ?
« Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement », prévoit l’article 77 du RGPD. En France, cette autorité est la CNIL, et la loi française ajoute une voie rapide propre à l’effacement : « En cas de non-exécution de l’effacement des données à caractère personnel ou en cas d’absence de réponse du responsable du traitement dans un délai d’un mois à compter de la demande, la personne concernée peut saisir la Commission nationale de l’informatique et des libertés, qui se prononce sur cette demande dans un délai de trois semaines à compter de la date de réception de la réclamation ». Ce délai de trois semaines, prévu au II de l’article 51 de la loi du 6 janvier 1978, dont la version en vigueur depuis le 1er juin 2019 reprend ces délais, fait de la plainte CNIL l’arme la plus rapide du dossier d’effacement, bien avant toute audience judiciaire.
La plainte en ligne devant la CNIL se prépare comme un dossier contentieux en miniature. Joignez la demande d’effacement avec sa preuve de réception, la confirmation de fermeture du compte, les relances reçues après cette date, les captures du profil conservé, les échanges avec le service client et la politique de confidentialité applicable. Exposez la chronologie en une page : clôture le jour J, demande le jour J+1, relances aux dates précises, silence ou refus à l’expiration du mois. Demandez expressément l’effacement des données, la cessation de la prospection et, si les manquements sont caractérisés, une sanction. Plus le dossier est ordonné, plus l’instruction est rapide, et les pièces datées valent mieux qu’un long récit.
La CNIL dispose d’une gamme de mesures graduées qui explique pourquoi les professionnels répondent souvent dès qu’elle les interroge. Son président peut avertir ou mettre en demeure, et sa formation restreinte peut prononcer des injonctions avec astreinte, des limitations de traitement et des amendes administratives dont le RGPD fixe le plafond à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les manquements les plus graves, notamment aux droits des personnes, tandis que l’article 20 de la loi du 6 janvier 1978 organise les avertissements et mises en demeure préalables du président de la CNIL. Pour situer le niveau actuel des sanctions en France, la décision du 13 janvier 2026 contre Free Mobile et Free, avec respectivement 27 et 15 millions d’euros d’amende pour des mesures de sécurité inadaptées ayant exposé les données des abonnés, montre que l’autorité n’hésite plus devant les très grandes entreprises du numérique. Un site qui conserve des milliers de comptes « supprimés » et poursuit la prospection après opposition s’expose à la même logique : injonction d’effacer sous astreinte, puis amende proportionnée au nombre de personnes concernées et à la durée du manquement.
Deux précisions encadrent cette étape. D’abord, la CNIL ne vous alloue pas de dommages-intérêts : elle ordonne, enjoint et sanctionne, mais la réparation de votre préjudice relève du juge. Ensuite, si la CNIL ne traite pas votre réclamation ou ne vous informe pas dans un délai de trois mois, l’article 78 du RGPD vous ouvre un recours contre l’autorité elle-même devant la juridiction compétente. En pratique, la plainte CNIL et l’action en justice se combinent plutôt qu’elles ne s’excluent : la mise en demeure de la CNIL fait souvent plier le professionnel, et à défaut, elle constitue une pièce de poids devant le tribunal. C’est pourquoi il faut saisir la CNIL dès l’expiration du mois sans attendre l’issue de la procédure judiciaire, puis assigner en parallèle si le préjudice justifie une réparation.
B. Comment obtenir du juge l’effacement sous astreinte et la réparation du préjudice ?
« Sans préjudice de tout recours administratif ou extrajudiciaire qui lui est ouvert, y compris le droit d’introduire une réclamation auprès d’une autorité de contrôle au titre de l’article 77, chaque personne concernée a droit à un recours juridictionnel effectif si elle considère que les droits que lui confère le présent règlement ont été violés du fait d’un traitement de ses données à caractère personnel effectué en violation du présent règlement », énonce l’article 79 du RGPD. L’action se porte devant le tribunal judiciaire du lieu d’établissement du responsable du traitement ou, à votre choix, devant celui de votre résidence habituelle. Vous pouvez donc agir près de chez vous contre un site établi ailleurs en France ou dans l’Union, ce qui supprime l’obstacle de la distance que les plateformes invoquent parfois pour décourager les demandes.
Le juge peut ordonner l’effacement sous astreinte, c’est-à-dire enjoindre au site de supprimer les données dans un délai fixé, avec une somme due par jour de retard passé ce délai. Demandez une astreinte dissuasive et la possibilité de la liquider, car l’expérience montre que seule la pression financière fait exécuter les suppressions dans les grandes bases de données. Sollicitez aussi l’interdiction de toute prospection ultérieure à partir des données litigieuses et la communication des destinataires auxquels vos données ont été transmises, afin que l’effacement se propage chez les partenaires. En cas d’urgence, notamment quand vos données restent exposées publiquement ou que les relances se multiplient, la procédure accélérée au fond ou le référé permettent d’obtenir rapidement l’injonction sans attendre un procès au long cours.
La réparation du préjudice obéit à l’article 82 du RGPD : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». Le texte couvre le dommage moral, ce qui compte beaucoup dans les dossiers d’effacement où le préjudice est d’abord une perte de maîtrise de ses données, du temps perdu et de l’exaspération face à un professionnel sourd. Le responsable du traitement ne s’exonère qu’en prouvant que le fait dommageable « ne lui est nullement imputable », et quand plusieurs acteurs participent au traitement, chacun peut être tenu pour l’ensemble du dommage afin de garantir une réparation effective. Concrètement, le site qui a conservé votre compte et le partenaire qui a continué à vous prospecter avec les données transmises peuvent être condamnés ensemble, quitte à régler ensuite leurs comptes entre eux.
Chiffrer la demande suppose de documenter chaque poste. Le temps consacré aux démarches se prouve par les courriels, les appels et les recommandés ; quantifiez-le en heures et valorisez-le. Les relances commerciales persistantes caractérisent un préjudice moral lié à l’intrusion et à la perte de contrôle : conservez chaque message avec sa date, car dix relances après une opposition valent mieux qu’une affirmation générale. Si la conservation abusive a causé un dommage précis, comme une offre de crédit refusée après une transmission de données périmées, un recrutement compromis par un profil fantôme ou des démarches auprès d’un proche démarché à son tour, joignez les justificatifs et demandez le remboursement des frais exposés. Les montants alloués dans ce type de dossier restent mesurés quand le préjudice est seulement moral, mais ils augmentent nettement avec la durée de l’inertie, le nombre de relances et le mépris affiché pour la demande initiale. Joignez systématiquement la décision ou le courrier de la CNIL quand vous en avez obtenu un : l’autorité qui a constaté le manquement rend la faute difficile à contester.
L’articulation avec le contrat mérite une attention particulière, car beaucoup de sites mêlent arguments contractuels et obligations de protection des données. Les conditions générales qui prévoient une conservation indéfinie « pour améliorer nos services » ou qui subordonnent la suppression à des frais ne peuvent pas faire échec au RGPD, texte d’ordre public européen d’application directe. Quand le litige mêle inexécution contractuelle et violation des données, par exemple un abonnement résilié mais toujours facturé avec conservation du RIB, menez les deux actions ensemble : remboursement et résiliation sur le terrain du contrat, effacement et réparation sur celui des données. Pour les aspects contractuels et commerciaux du dossier, notamment la sortie d’un abonnement conflictuel ou la négociation avec un prestataire, l’expertise du cabinet en contrats commerciaux à Paris permet de traiter le litige dans son ensemble sans morceler les procédures.
Enfin, préparez l’après-jugement. Une fois l’effacement ordonné et exécuté, vérifiez sa réalité pendant plusieurs semaines et conservez le jugement : toute reconstitution du fichier à partir d’une sauvegarde ou toute nouvelle prospection issue de l’ancienne base constituerait une violation nouvelle, passible d’une nouvelle sanction et d’une nouvelle réparation. Si le site est établi hors de l’Union et ignore la décision, la CNIL et la coopération européenne des autorités de contrôle offrent des relais d’exécution qu’un particulier seul activerait difficilement. C’est à ce stade qu’un accompagnement par un avocat du Barreau de Paris, habitué à ces enchaînements entre CNIL et tribunal judiciaire, fait la différence entre une victoire de principe et un effacement réellement constaté.
Conclusion
Un compte supprimé dont les données survivent n’est pas un aléa informatique : c’est un traitement sans base légale que le droit sanctionne à chaque étape. La méthode qui fonctionne commence par une demande d’effacement précise, fondée sur l’article 17 du RGPD et l’article 51 de la loi du 6 janvier 1978, adressée avec preuve de réception et assortie d’un délai d’un mois. À l’expiration de ce mois sans effacement, la plainte devant la CNIL, qui se prononce en trois semaines sur l’effacement, exerce une pression que les professionnels prennent au sérieux depuis les sanctions à huit chiffres. Devant le juge, l’injonction sous astreinte obtient la suppression effective et l’article 82 du RGPD répare le dommage matériel et moral, d’autant plus sûrement que chaque relance et chaque mois de silence ont été documentés.
Retenez trois réflexes : prouver les dates, citer les textes exacts et ne jamais laisser l’inertie du site devenir votre renoncement. Admettez la conservation des seules pièces légalement imposées, comme les factures, et contestez tout le reste. Et quand les relances continuent malgré vos démarches, faites constater le manquement par la CNIL avant de demander au tribunal de le chiffrer. Vos données valent mieux qu’un profil fantôme dans une base commerciale.
Besoin d’un avis rapide sur votre dossier
Vous souhaitez un avis sur votre dossier en numérique et données personnelles, après la fermeture d’un compte dont les données sont conservées. Maître Reda KOHEN, avocat au Barreau de Paris, examine votre situation et vos pièces. Consultation téléphonique : 80 EUR TTC. Téléphone : 06 46 60 58 22. Contact : formulaire de contact.