Vous avez fermé votre compte sur une boutique en ligne, résilié une application ou quitté un réseau social, et pourtant les courriels promotionnels continuent d’arriver, votre profil reste visible ou le service vous annonce qu’il « conserve vos données ». Cette situation est l’une des plus fréquentes du droit des données personnelles : la relation contractuelle est terminée, mais le traitement de vos données se poursuit sans base claire. Le règlement général sur la protection des données (RGPD) pose pourtant une règle simple : des données qui ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées doivent être effacées, et la personne concernée dispose d’un droit à l’effacement directement opposable au service.
En pratique, les organismes invoquent la lutte contre la fraude, leurs statistiques, leurs obligations comptables ou de simples habitudes de conservation de trois ans. Certaines de ces justifications sont légitimes et limitées, d’autres ne résistent pas à l’examen du juge : le Conseil d’État a ainsi confirmé une amende de 175 000 euros contre un service en ligne qui conservait par principe les données de ses utilisateurs pendant trois ans après la fin de la relation commerciale. De votre côté, la procédure est encadrée par des délais précis : le responsable du traitement doit répondre dans un délai d’un mois, la CNIL peut être saisie ensuite et se prononce en trois semaines, et le juge peut ordonner l’effacement. La réparation financière, en revanche, n’est jamais automatique : la Cour de cassation juge en 2026 que la simple violation du RGPD n’ouvre pas à elle seule droit à réparation, et que le préjudice doit être établi.
Cet article décrit la marche à suivre, dans l’ordre : identifier les données qui doivent disparaître, formuler une demande d’effacement qui oblige le service à répondre, puis saisir la CNIL et le juge en cas de refus ou de silence, avec les textes, les décisions et les délais applicables en 2026.
I. Exiger l’effacement des données conservées après la fermeture de votre compte
A. Quelles données le service doit-il effacer quand la relation est terminée ?
Le fondement de votre demande figure à l’article 17 du RGPD, qui ouvre le « droit à l’effacement », aussi appelé droit à l’oubli. Le premier cas d’ouverture vise exactement votre situation : vous pouvez obtenir l’effacement « dans les meilleurs délais » lorsque « les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière » (article 17 du RGPD, reproduit par la Cour de cassation le 3 juin 2026). Un compte fermé, un abonnement résilié ou une application désinstallée font en principe disparaître la finalité qui justifiait la conservation des données de gestion du compte : identité, coordonnées, historique de navigation lié au compte, préférences, contenus du profil et données de prospection adossées à ce compte.
Ce raisonnement s’appuie sur deux principes généraux de l’article 5 du RGPD, que la CNIL et le juge administratif appliquent strictement. D’une part la minimisation : les données doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ». D’autre part la limitation de la conservation : les données doivent être « conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées » (article 5 du RGPD, rappelé par le Conseil d’État le 6 décembre 2023). Conserver l’intégralité d’un fichier clients « au cas où » le client reviendrait, sans durée ni tri, méconnaît ces deux principes.
La décision rendue par le Conseil d’État le 6 décembre 2023 contre la société Ubeeqo International illustre cette sévérité. Le service de location de véhicules conservait par principe les données personnelles de ses utilisateurs non professionnels pendant trois ans à compter de la fin de la relation commerciale. Le Conseil d’État a jugé que « la formation restreinte de la CNIL a pu légalement estimer que la société Ubeeqo conservait les données de géolocalisation pour une durée excessive au regard des finalités poursuivies et retenir l’existence d’un manquement » aux règles de conservation, et il a rejeté le recours contre l’amende administrative de 175 000 euros (Conseil d’État, 10e-9e chambres réunies, 6 décembre 2023, n° 467368). Une durée standard appliquée indistinctement à tous les clients après la fin du contrat ne vaut pas justification.
L’effacement n’est toutefois pas total dans tous les cas, et le savoir évite les demandes vouées à l’échec partiel. Lorsque le traitement reste nécessaire « pour respecter une obligation légale », l’article 17, paragraphe 3, écarte le droit à l’effacement (article 17, paragraphe 3, du RGPD, appliqué par la Cour de cassation le 3 juin 2026). La CNIL l’explique concrètement pour le commerce en ligne : une demande de suppression du compte ne fait pas disparaître les factures et les documents comptables liés à vos achats, que la loi oblige le professionnel à conserver (CNIL, le droit à l’effacement). De même, des données encore nécessaires à la constatation, à l’exercice ou à la défense de droits en justice peuvent être conservées le temps du litige. La bonne demande distingue donc les données de gestion du compte, qui doivent disparaître, des documents que la loi oblige le professionnel à archiver.
Autre point utile : si le service a communiqué vos données à des tiers, par exemple des partenaires commerciaux ou des régies publicitaires, l’effacement ne s’arrête pas à ses propres serveurs. Le responsable du traitement doit notifier à chaque destinataire auquel vos données ont été communiquées la rectification, l’effacement ou la limitation effectué, sauf impossibilité ou efforts disproportionnés, et vous pouvez lui demander la liste de ces destinataires. Exigez cette information dans votre demande : elle révèle souvent des flux que le service avait omis de mentionner.
B. Comment formuler une demande d’effacement qui oblige le service à répondre ?
La CNIL décrit votre cas de figure sans détour : lorsque vous ne souhaitez plus bénéficier des services d’un site de commerce en ligne, demander la fermeture du compte et l’effacement des données associées (CNIL, le droit à l’effacement). Commencez par les canaux prévus par le service : paramètre de suppression du compte, formulaire de contact vie privée, adresse du délégué à la protection des données. L’article 13 du RGPD oblige en effet l’organisme à vous communiquer dès la collecte les coordonnées du délégué à la protection des données lorsqu’il en a désigné un, ainsi que la durée de conservation ou les critères utilisés pour la déterminer (guide de la CNIL sur l’effacement). Si ces informations figurent dans la politique de confidentialité, utilisez-les et citez-les : le service pourra difficilement prétendre qu’il n’était pas informé.
Votre demande doit être précise pour être efficace. La CNIL insiste : vous devez indiquer précisément les données dont vous demandez l’effacement, car l’exercice du droit n’entraîne pas la suppression indistincte de tout ce que l’organisme détient sur vous (CNIL, le droit à l’effacement). Listez les catégories : données d’identification du compte, adresse électronique et numéro de téléphone utilisés à des fins de prospection, historique d’achats et de navigation lié au compte, contenus du profil, données de géolocalisation collectées par l’application. Demandez parallèlement la liste des destinataires auxquels ces données ont été communiquées et la confirmation écrite de l’effacement, y compris chez les sous-traitants et partenaires. Joignez la preuve de la fermeture du compte ou de la résiliation, et conservez l’accusé de réception de votre envoi.
Le délai de réponse est impératif et court à compter de la réception de votre demande. Le responsable du traitement vous informe des mesures prises à la suite de votre demande dans les meilleurs délais et au plus tard sous un mois à compter de sa réception, ce délai pouvant être prolongé de deux mois vu la complexité ou le nombre de demandes, à condition de vous en avertir avec les motifs du report . S’il refuse de donner suite, il doit vous en informer sans tarder et au plus tard sous un mois, en motivant son inaction et en vous rappelant la plainte devant l’autorité de contrôle et le recours devant le juge . L’exercice de ces droits est en principe sans frais, sauf demandes manifestement infondées ou excessives, notamment répétitives, dont le caractère excessif doit être démontré par l’organisme.
Un cas particulier mérite d’être signalé : les données collectées quand vous étiez mineur. L’article 51 de la loi Informatique et Libertés prévoit que le responsable du traitement est tenu d’effacer « dans les meilleurs délais » les données collectées dans le cadre de l’offre de services de la société de l’information lorsque la personne était mineure au moment de la collecte, et d’informer les tiers auxquels il les a transmises (article 51 de la loi n° 78-17 du 6 janvier 1978). Si vous aviez ouvert le compte pendant votre minorité, mentionnez-le expressément : ce fondement renforce votre demande.
Pendant ce premier mois, constituez votre dossier de preuve. Capturez les écrans montrant la persistance du compte ou du profil, conservez les courriels commerciaux reçus après la fermeture, archivez les échanges avec le service et notez les dates. Si le service exige une pièce d’identité, transmettez-la de façon proportionnée et occultez les mentions inutiles : il peut demander des informations supplémentaires en cas de doute raisonnable sur votre identité, mais cette vérification ne doit pas devenir un obstacle. Sans réponse au bout d’un mois, ou en cas de refus motivé de façon insuffisante, passez à l’étape suivante sans attendre.
Pour situer cette démarche parmi vos autres droits sur vos données, notamment lorsque le service refuse aussi de vous montrer ce qu’il détient, notre analyse du droit d’accès et de la copie de vos données personnelles détaille la demande de copie, la saisine de la CNIL et l’action devant le juge.
II. Contraindre le service : CNIL, juge et réparation en cas de refus ou de silence
A. Saisir la CNIL après un mois sans effacement, puis déférer sa réponse au juge
Le droit français organise un relais précis entre le service et la CNIL. L’article 51 de la loi Informatique et Libertés dispose : « En cas de non-exécution de l’effacement des données à caractère personnel ou en cas d’absence de réponse du responsable du traitement dans un délai d’un mois à compter de la demande, la personne concernée peut saisir la Commission nationale de l’informatique et des libertés » (article 51 de la loi n° 78-17 du 6 janvier 1978). Le même texte ajoute que la Commission « se prononce sur cette demande dans un délai de trois semaines à compter de la date de réception de la réclamation ». Ce double délai structure votre calendrier : un mois pour le service, trois semaines pour la première réponse de la CNIL.
La plainte se dépose en ligne auprès de la CNIL et doit être documentée : copie de votre demande d’effacement, preuve de sa réception et de sa date, échanges avec le service, captures établissant la conservation des données, et exposé précis des manquements invoqués. La CNIL le rappelle dans son guide : en cas de réponse insatisfaisante ou d’absence de réponse au bout d’un mois, vous pouvez la saisir (CNIL, le droit à l’effacement). Au niveau européen, l’article 77 du RGPD garantit à toute personne le droit d’introduire une réclamation auprès d’une autorité de contrôle si elle considère que le traitement de ses données constitue une violation du règlement, et l’autorité saisie doit l’informer de l’état d’avancement et de l’issue de sa réclamation.
La CNIL dispose d’une marge d’appréciation sur les suites à donner : rappel à la loi, mise en demeure, sanction pécuniaire, ou clôture. Mais cette latitude n’est pas un pouvoir discrétionnaire insusceptible de recours. Le Conseil d’État juge que l’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite, et que, lorsque la plainte invoque la méconnaissance des droits individuels garantis par la loi, notamment les droits d’accès, de rectification, d’effacement, de limitation et d’opposition, « le pouvoir d’appréciation de la CNIL pour décider des suites à y donner s’exerce, eu égard à la nature du droit individuel en cause, sous l’entier contrôle du juge de l’excès de pouvoir » (Conseil d’État, 10e chambre, 14 février 2024, n° 474625). Concrètement, si la CNIL classe votre réclamation alors que le service conserve manifestement vos données sans base légale, le juge administratif exerce un contrôle complet, en fait comme en droit.
Dans cette affaire du 14 février 2024, un particulier reprochait à un site d’informations sur les sociétés de maintenir en ligne des données le concernant et contestait la clôture de sa plainte par la CNIL. Le Conseil d’État a rejeté son recours, mais pour un motif instructif : la CNIL avait rappelé la société à ses obligations en lui demandant de se mettre en conformité, tout en invitant le plaignant à la saisir d’une nouvelle réclamation si la société ne s’exécutait pas sous six semaines, de sorte que la décision de clôture n’était entachée d’aucune erreur d’appréciation (Conseil d’État, 10e chambre, 14 février 2024, n° 474625). La leçon opérationnelle est claire : après une clôture assortie d’un rappel à la loi, surveillez le délai fixé et, si le service ne s’exécute pas, déposez une nouvelle réclamation en joignant la preuve de l’inexécution. Votre dossier s’en trouve renforcé à chaque étape.
Parallèlement à la voie administrative, vous pouvez agir directement contre le service devant le juge judiciaire. L’article 79 du RGPD ouvre à chaque personne « un recours juridictionnel effectif » lorsqu’elle considère que ses droits ont été violés du fait d’un traitement contraire au règlement, et l’action peut être portée devant les juridictions de l’État membre de votre résidence habituelle. Vous pouvez ainsi demander au juge d’enjoindre l’effacement des données et la justification de son exécution chez les destinataires tiers, en produisant votre demande restée sans suite, la réponse insuffisante du service et les preuves de la conservation persistante. Les deux voies peuvent se combiner : la réclamation CNIL fait pression et documente le manquement, l’action judiciaire ordonne l’effacement sous le contrôle du juge.
Lorsque la CNIL instruit votre réclamation et constate des manquements persistants, elle peut mettre l’organisme en demeure de s’y conformer puis, à défaut, saisir sa formation restreinte en vue d’une sanction. L’article 20 de la loi Informatique et Libertés (sanction confirmée par le Conseil d’État le 6 décembre 2023) permet alors le prononcé d’une amende administrative dont le plafond atteint, pour une entreprise, 2 % du chiffre d’affaires annuel mondial, porté à 4 % dans les cas les plus graves visés par le RGPD. Parallèlement, l’article 83 du RGPD impose que toute amende soit effective, proportionnée et dissuasive, en tenant compte de la nature, de la gravité et de la durée de la violation ainsi que du nombre de personnes concernées. Cette perspective de sanction explique que de nombreux services régularisent leur situation dès la mise en demeure, avant tout contentieux : conservez donc la preuve de chaque étape, car un dossier chronologique complet accélère à la fois l’instruction de la CNIL et, si nécessaire, l’office du juge.
B. Obtenir l’effacement ordonné et une réparation proportionnée au préjudice réel
Devant le juge, la première demande est l’effacement lui-même, avec ses accessoires : confirmation écrite, information des tiers destinataires en application de l’article 19, et le cas échéant cessation de la prospection adossée aux données conservées. Fonde l’injonction sur l’article 17, paragraphe 1, point a), quand la finalité contractuelle a disparu, et ajoutez si nécessaire les autres cas d’ouverture : retrait du consentement sans autre fondement juridique, opposition sans motif légitime impérieux du service, ou traitement devenu illicite (article 17 du RGPD, reproduit par la Cour de cassation le 3 juin 2026). Anticipez les défenses tirées du paragraphe 3 : obligation légale de conservation, ou données encore nécessaires à la constatation, à l’exercice ou à la défense de droits en justice. Votre argumentaire doit montrer, pièce par pièce, que les données litigieuses ne relèvent d’aucune de ces exceptions.
La réparation financière obéit à des conditions strictes qu’il faut connaître avant d’engager le procès. L’article 82, paragraphe 1, du RGPD dispose que « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi » (article 82 du RGPD, cité par la Cour de cassation le 24 juin 2026). Par un arrêt du 24 juin 2026, la chambre sociale de la Cour de cassation en tire une conséquence directe : « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation », et le juge doit vérifier si la victime établit que la violation constatée lui a causé un dommage matériel ou moral (Cour de cassation, chambre sociale, 24 juin 2026, n° 24-22.792). La cour d’appel qui avait déduit automatiquement un préjudice de la violation a vu son arrêt cassé sur ce point.
Cet arrêt précise également, en reprenant la jurisprudence de la Cour de justice de l’Union européenne, que la réparation doit « compenser intégralement le préjudice concrètement subi » sans fonction punitive, que le demandeur doit établir la violation et le dommage qu’elle lui a causé, et qu’en revanche aucune règle nationale ne peut subordonner la réparation du dommage moral à un seuil minimal de gravité (Cour de cassation, chambre sociale, 24 juin 2026, n° 24-22.792). Pour votre dossier, cela signifie un travail de démonstration concret : spams persistants après opposition, temps passé à faire valoir vos droits, profilage commercial non consenti, exposition de données sensibles, démarches auprès de tiers démarchés avec vos coordonnées. Chiffrez chaque poste et produisez les justificatifs : relevés, captures datées, attestations, échanges. Un préjudice même modeste mais établi ouvre droit à réparation, tandis qu’une violation avérée mais sans dommage démontré n’ouvre droit qu’à l’effacement et, le cas échéant, à la sanction administrative du service.
Reste une limite à intégrer : le droit à l’effacement cède parfois devant d’autres droits fondamentaux. Par un arrêt du 3 juin 2026, la première chambre civile de la Cour de cassation a jugé, à propos d’une demande portant sur un contenu journalistique archivé en ligne, que le paragraphe 3 de l’article 17 « consacre ainsi explicitement l’exigence d’une mise en balance entre, d’une part, les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel », la Cour retenant ensuite sept critères dont la nature de l’information, le temps écoulé, l’intérêt contemporain du public, la notoriété de la personne, les répercussions de la permanence en ligne, l’accessibilité des archives et l’impact sur la liberté de la presse (Cour de cassation, première chambre civile, 3 juin 2026, n° 25-14.228). Cette mise en balance concerne les contenus publiés dans l’intérêt du public, non les fichiers clients d’un service que vous avez quitté : ne laissez pas un organisme l’invoquer hors de son champ pour refuser l’effacement de vos données de compte.
En résumé, agissez dans cet ordre : demande écrite et précise au service avec preuve de réception ; à défaut de réponse complète sous un mois, réclamation documentée auprès de la CNIL, qui se prononce en trois semaines ; en cas de refus persistant, action devant le juge pour obtenir l’injonction d’effacement et, sur preuve de votre préjudice concret, des dommages et intérêts. Chaque étape alimente la suivante, et le service qui conserve vos données sans base légale après la fin de la relation s’expose à la fois à la sanction administrative et à la condamnation judiciaire.
Besoin d’un avis rapide sur votre dossier
Un service en ligne conserve vos données après la fermeture de votre compte et vos demandes restent sans effet. Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier en numérique et données personnelles et vous indique la stratégie d’effacement, de saisine de la CNIL et d’action en réparation adaptée à votre situation. Consultation téléphonique en 48 heures : 80 EUR TTC. Téléphone : 06 46 60 58 22. Contact : formulaire de contact du cabinet.