Vous avez cliqué sur « supprimer mon compte », résilié l’abonnement, clôturé le contrat, parfois depuis des mois. Pourtant les courriels commerciaux continuent d’arriver, votre profil reste visible dans l’espace client, ou un partenaire vous démarche avec des informations que vous aviez confiées au seul site d’origine. Cette situation, banale, correspond dans bien des cas à une conservation illicite de données personnelles : le compte a disparu de votre écran, mais le traitement a survécu dans les serveurs de l’organisme. La question pratique est alors triple : sur quel fondement exiger l’effacement, jusqu’où l’organisme peut-il opposer un refus, et comment obtenir une décision exécutée puis une indemnisation si le litige s’installe.
Le droit applicable distingue deux scènes. La première est celle de l’effacement lui-même : le règlement européen reconnaît à toute personne le droit d’obtenir l’effacement de ses données « dans les meilleurs délais » dès que l’un des motifs légaux est réuni, et la loi française organise le recours devant la Commission nationale de l’informatique et des libertés en cas de silence ou de refus. La seconde est celle de l’exécution et de la réparation : le juge peut ordonner la suppression sous astreinte, et la violation du règlement ouvre un droit à réparation du dommage matériel ou moral, à condition de prouver ce dommage. Cet article expose la méthode complète, avec les textes, les délais et les décisions qui la portent.
I. Obtenir l’effacement des données conservées après la fin de la relation
A. Un droit à l’effacement qui survit à la suppression du compte
Supprimer son compte ne supprime pas toujours ses données. L’espace client fermé, l’application désinstallée ou l’abonnement résilié, l’organisme conserve fréquemment l’historique d’achats, les coordonnées, les pièces justificatives, les journaux de connexion ou le profil marketing, puis les réutilise pour prospecter, scorer ou revendre de l’audience. Or le règlement (UE) 2016/679 du 27 avril 2016 pose un principe simple : la personne concernée a le droit d’obtenir du responsable du traitement l’effacement de ses données dans les meilleurs délais dès que l’un des motifs légaux est réuni, avec l’obligation corrélative d’effacer, selon l’article 17 du règlement, tel que rappelé par la cour d’appel de Montpellier le 20 mars 2025. Le premier de ces motifs vise exactement notre situation : « les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière ». Un compte clôturé ne justifie plus la conservation du profil commercial actif, des préférences publicitaires ou de l’historique de navigation attaché au client.
Cinq autres motifs peuvent fonder la demande : le retrait du consentement sans autre base juridique, l’opposition au traitement sans motif légitime impérieux contraire, le traitement illicite, l’obligation légale d’effacer, et les données d’un mineur collectées via un service en ligne. En pratique, la demande vise le motif le plus solide : fin de la relation contractuelle et disparition de la finalité pour un ancien client, retrait du consentement pour les lettres d’information et la prospection, opposition pour le profilage marketing. L’organisme qui a rendu les données publiques doit en outre, en vertu du même article, prendre des mesures raisonnables, y compris techniques, pour avertir les autres responsables qui traitent ces données de la demande d’effacement, ce qui couvre la diffusion à des partenaires ou à des régies.
L’effacement s’articule avec deux principes généraux du traitement, énoncés par l’article 5 du règlement et rappelés par la cour d’appel de Montpellier : les données doivent être collectées pour des finalités déterminées, explicites et légitimes, sans traitement ultérieur incompatible avec ces finalités, et conservées sous une forme identifiante seulement le temps nécessaire à ces finalités. La conservation au-delà du nécessaire, même passive, viole ces deux principes. La cour d’appel de Montpellier l’a jugé le 20 mars 2025 à propos de comptes de messagerie maintenus après le départ de salariés : le maintien du traitement « contrevient au principe de finalité combiné aux principes de minimisation et de limitation du délai de conservation des données énoncés par les articles 5.1b), 5.1 c) et 5.1 e) du RGPD », et constitue un trouble manifestement illicite qu’il faut faire cesser. La cour a condamné la société « à rendre inactifs et supprimer les comptes » en question « dans un délai de huit jours » après signification, « sous astreinte provisoire de 500 euros par jour de retard passé ce délai ». Le raisonnement vaut pour un compte client : une boîte conservée un an après la rupture, sans motif impérieux démontré, a été jugée excessive, alors même que l’employeur invoquait des contentieux en cours et la défense de ses droits en justice.
La demande doit être adressée au bon interlocuteur : le responsable du traitement, c’est-à-dire l’organisme qui détermine les finalités et les moyens, en pratique la société avec laquelle le contrat a été conclu. Le tribunal judiciaire de Paris l’a rappelé le 30 janvier 2025 : « le sous-traitant n’est pas tenu de répondre directement aux personnes exerçant leurs droits », et c’est au responsable « en qualité de responsable de traitement » de répondre, le sous-traitant devant seulement l’aider à donner suite aux demandes en vertu de l’article 28 du règlement, appliqué par le tribunal judiciaire de Paris le 30 janvier 2025. Concrètement, écrire à l’hébergeur du site ou au prestataire technique ne suffit pas ; la mise en demeure part au siège du vendeur, de l’opérateur, de la banque ou de la plateforme, à l’attention du délégué à la protection des données quand il existe. La demande identifie la personne, liste les données ou les catégories de données visées, vise le motif d’effacement et fixe un délai de réponse. Elle part en recommandé avec accusé de réception ou par tout moyen conférant date certaine, et chacun de ces envois sera une pièce au dossier si le litige se poursuit.
B. Les refus que l’organisme peut opposer, et ceux qu’il ne peut pas inventer
Tout refus n’est pas abusif. Le règlement énumère les traitements nécessaires qui échappent à l’effacement, et l’organisme les invoque souvent en bloc, parfois à tort. L’article 17, paragraphe 3, du règlement, rappelé par la cour d’appel de Montpellier exclut l’effacement dans la mesure où le traitement reste nécessaire, notamment pour respecter une obligation légale qui l’impose, ou encore « à la constatation, à l’exercice ou à la défense de droits en justice ». Trois vérifications s’imposent donc avant de crier à la violation : l’obligation légale existe-t-elle vraiment, couvre-t-elle les données litigieuses, et pour quelle durée.
Premier cas, les documents comptables et fiscaux. Les factures et pièces justificatives attachées aux achats du client doivent être conservées dix ans en vertu de l’article L123-22 du code de commerce, qui dispose que « Les documents comptables et les pièces justificatives sont conservés pendant dix ans ». L’organisme peut donc légitimement garder les factures, mais pas l’intégralité du profil : l’historique de navigation, les préférences marketing, les tickets d’assistance vieux de plusieurs années ou la copie de la pièce d’identité n’entrent pas dans cette obligation. La réponse proportionnée consiste à exiger l’effacement des données non couvertes et, pour les factures, la limitation de leur usage à la seule finalité comptable et fiscale.
Deuxième cas, la défense en justice. Un litige en cours ou imminent, par exemple une contestation de paiement, une garantie ou une procédure prud’homale, autorise la conservation des pièces utiles au procès, à proportion du litige et pour sa durée. Mais l’argument ne vaut que si l’organisme désigne les pièces et le litige : dans l’arrêt de Montpellier déjà cité, la société invoquait des contentieux avec d’anciens salariés pour justifier le maintien de leurs messageries, sans indiquer « quels éléments concrets ainsi recueillis elle projette de produire en justice », et la cour a écarté l’exception. Une formule générale du type conservation pour preuve en cas de litige éventuel ne constitue pas un motif. Au-delà, la prescription de droit commun aide à borner les débats : l’article 2224 du code civil prévoit que « Les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer », de sorte qu’une conservation « au cas où » de dix ou quinze ans de journaux de connexion d’un ancien client se justifie rarement.
Troisième cas, les droits des tiers et l’intérêt public. Les données mêlées à celles d’autres personnes, les archives d’intérêt public, la recherche ou la santé publique peuvent limiter l’effacement ponctuellement. Le tribunal judiciaire de Paris, dans le jugement du 30 janvier 2025, a rejeté une demande d’annulation d’un rapport d’enquête en relevant que « le droit d’effacement, d’opposition ou de limitation » n’est pas applicable « lorsqu’il s’agit pour un employeur de se conformer à ses obligations légales », et que la législation sur les données personnelles n’envisage « à titre de sanction, que des sanctions pénales, d’amende et une responsabilité » en cas de dommage en lien causal avec les manquements. Pour un ancien client, cette limite joue à la marge : elle peut protéger un avis laissé sur une plateforme dans le cadre de la liberté d’expression, mais pas la base de prospection conservée après résiliation.
Quatrième point, souvent décisif : la prospection qui continue après la suppression du compte. Lorsque les données sont traitées à des fins de prospection, l’article 21 du règlement donne à la personne le droit de s’opposer à tout moment au traitement de ses données à des fins de prospection, et impose alors la cessation de tout traitement à ces fins. Aucun motif légitime impérieux ne peut être opposé à cette opposition : le démarchage doit cesser. En droit français, l’article L34-5 du code des postes et des communications électroniques interdit la prospection par courriel sans consentement préalable, sauf l’exception du client existant pour des produits analogues, à condition de lui offrir à chaque envoi la possibilité de s’opposer « de manière simple », sans frais autres que la transmission du refus. Après résiliation et opposition, l’envoi de nouvelles offres constitue donc une double violation : poursuite d’un traitement de prospection malgré l’opposition, et prospection électronique sans base valable. Chaque message reçu après l’opposition devient une preuve datée du manquement.
Enfin, un mot sur les durées affichées par les organismes. La Commission rappelle dans ses référentiels que les durées suggérées, par exemple pour la gestion commerciale, ne sont que des préconisations : « Les référentiels ne sont pas contraignants », et l’organisme peut s’en écarter à condition de pouvoir justifier son choix, dont il demeure responsable, selon la Commission. Autrement dit, ni le client ni l’organisme ne peuvent brandir un chiffre du référentiel comme une règle absolue : le juge apprécie, au regard des finalités, si la durée est excessive. La méthode reste la même : identifier chaque catégorie de données, sa finalité après la fin du contrat, et sa durée effective de conservation.
II. Contraindre l’organisme et obtenir réparation
A. La procédure qui force la décision : mise en demeure, CNIL, juge
La chronologie gagne à être rigoureuse, car chaque étape conditionne la suivante. D’abord, la demande directe au responsable du traitement, écrite, précise et datée. L’article 12 du règlement impose au responsable de faciliter l’exercice des droits et de répondre dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande, ce délai pouvant être prolongé de deux mois pour les demandes complexes, à charge d’en informer la personne dans le premier mois. La Commission le confirme en pratique : le responsable doit procéder à l’effacement dans les meilleurs délais et au plus tard dans un délai d’un mois, prorogeable compte tenu de la complexité de la demande, et en cas de réponse insatisfaisante ou d’absence de réponse sous un mois, la personne peut saisir la Commission, selon la CNIL. Conserver la preuve de l’envoi, de la réception et du contenu de la demande est indispensable : c’est le point de départ du délai et, plus tard, la preuve du manquement.
Ensuite, en cas de refus ou de silence, la réclamation devant la Commission. L’article 51 de la loi du 6 janvier 1978 dispose que le droit à l’effacement « s’exerce dans les conditions prévues à l’article 17 du règlement (UE) 2016/679 », puis ajoute : « En cas de non-exécution de l’effacement des données à caractère personnel ou en cas d’absence de réponse du responsable du traitement dans un délai d’un mois à compter de la demande, la personne concernée peut saisir la Commission nationale de l’informatique et des libertés ». La Commission « se prononce sur cette demande dans un délai de trois semaines à compter de la date de réception de la réclamation ». Ce recours administratif s’articule avec le droit européen : l’article 77 du règlement reconnaît à toute personne le droit d’introduire une réclamation auprès d’une autorité de contrôle si elle considère que le traitement constitue une violation du règlement. La plainte décrit les faits dans l’ordre, joint la demande initiale et sa preuve de réception, la réponse éventuelle de l’organisme, et les preuves de la conservation persistante : captures de l’espace client toujours accessible, courriels reçus après la suppression, constats d’huissier ou de commissaire de justice pour les contenus en ligne. Si la plainte reste sans réponse ou se trouve classée, la voie juridictionnelle reprend le relais, comme l’expose notre analyse des recours après une plainte CNIL sans suite.
En parallèle ou à la suite, le recours au juge. L’article 79 du règlement ouvre à chaque personne un recours juridictionnel effectif quand elle estime que ses droits ont été violés par un traitement non conforme, devant les juridictions de l’État membre d’établissement du responsable ou devant celles de sa propre résidence habituelle. En France, le juge des référés peut ordonner la suppression sous astreinte lorsqu’il caractérise un trouble manifestement illicite : l’article 835 du code de procédure civile permet de « prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite », et d’« ordonner l’exécution de l’obligation même s’il s’agit d’une obligation de faire ». L’arrêt de Montpellier en offre le modèle : injonction de rendre inactifs et de supprimer les comptes dans les huit jours de la signification, sous astreinte provisoire de 500 euros par jour de retard. Le fondement de l’astreinte est général : l’article L131-1 du code des procédures civiles d’exécution prévoit que « Tout juge peut, même d’office, ordonner une astreinte pour assurer l’exécution de sa décision ». Au fond, le tribunal peut enjoindre l’effacement, assortir l’injonction d’une astreinte, et statuer sur la réparation.
Le dossier de preuves se construit dès le premier jour. Captures datées montrant que le compte ou les données subsistent, copies des courriels commerciaux reçus après la demande avec leurs en-têtes, accusés de réception des demandes, échanges avec le service client, constat de commissaire de justice pour les pages en ligne, plainte devant la Commission et sa réponse : chaque pièce établit la persistance du traitement, la connaissance qu’en avait l’organisme et l’inaction malgré la demande. Pour la prospection postérieure à l’opposition, chaque message est un manquement distinct et daté. Pour la réutilisation par un partenaire, les messages reçus de tiers non sollicités, rapprochés du fichier d’origine, établissent la transmission. Un dossier ordonné fait souvent la différence entre une injonction obtenue en référé et un renvoi au fond.
B. La réparation du préjudice : prouver le dommage, chiffrer la demande
Obtenir l’effacement ne répare pas le passé. Les mois de prospection subie, l’anxiété liée à la circulation des données, le temps passé à réclamer, voire le refus d’un service ou une usurpation facilitée par les données conservées, constituent des préjudices potentiellement indemnisables. L’article 82 du règlement, cité par la Cour de cassation le 24 juin 2026, dispose : « […] toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». Le texte vise à la fois le responsable et le sous-traitant, organise leur responsabilité solidaire envers la victime et leur exonération s’ils prouvent que le fait dommageable ne leur est nullement imputable. L’action en réparation se porte devant le juge désigné par l’article 79 du règlement, en France le tribunal judiciaire du domicile du demandeur ou du siège du responsable. Au fond, elle s’adosse aussi au droit commun de la responsabilité : l’article 1240 du code civil dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ».
Trois règles, fixées par la Cour de justice et reprises par la Cour de cassation, encadrent la demande. D’abord, la violation ne suffit pas : « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation », dit pour droit la Cour de justice de l’Union européenne le 4 mai 2023 dans l’arrêt Österreichische Post, C-300/21, repris sur ce point par la Cour de cassation le 24 juin 2026. Le demandeur doit établir un dommage causé par la violation, matériel ou moral, même modeste : flot de messages non sollicités, crainte avérée d’utilisation frauduleuse après une fuite, démarches répétées restées vaines, atteinte à la tranquillité. Ensuite, aucun seuil de gravité n’est exigé : le même arrêt juge que l’article 82 « s’oppose à une règle ou une pratique nationale subordonnant la réparation d’un dommage moral […] à la condition que le préjudice subi […] ait atteint un certain degré de gravité ». Un préjudice moral léger mais réel ouvre droit à réparation. Enfin, le montant relève du droit national, dans le respect des principes d’équivalence et d’effectivité du droit de l’Union.
La Cour de cassation applique strictement la première règle. Le 24 juin 2026, sa chambre sociale a cassé un arrêt qui avait alloué 5 000 euros de dommages-intérêts en retenant que le non-respect du règlement avait « nécessairement » causé un préjudice, alors que le salarié ne démontrait « ni son existence, ni son étendue » : « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation », et il appartenait aux juges « d’apprécier si le salarié établissait que la violation de ce règlement qu’elle avait constatée avait causé au salarié un dommage matériel ou moral ». La leçon vaut pour l’ancien client : la demande chiffre poste par poste, avec pièces. Le préjudice moral s’établit par l’attestation circonstanciée, le journal des sollicitations, les captures, la preuve des démarches et de leur échec, l’éventuel avis médical en cas d’anxiété caractérisée. Le préjudice matériel se justifie par factures : opposition bancaire après usage frauduleux, frais de constat, temps de traitement pour un indépendant facturé au taux horaire réel. Une demande qui additionne des préjudices documentés, même de quelques centaines d’euros par poste, emporte plus sûrement la conviction qu’un chiffre global jeté sans pièces.
Le délai pour agir mérite attention. L’action en réparation du préjudice de données personnelles est une action personnelle soumise à la prescription de cinq ans de l’article 2224 du code civil : « cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer ». Le point de départ court en pratique de la découverte de la conservation illicite, par exemple la réception d’un message commercial après la suppression du compte ou la réponse de l’organisme avouant la conservation. Agir vite reste préférable : les journaux et les messages s’effacent, les prestataires changent, et la démonstration du lien entre la violation et le dommage se fragilise avec le temps. La mise en demeure interrompt-elle la prescription ? Elle ne l’interrompt pas à elle seule ; seuls l’assignation, la reconnaissance du droit par le débiteur ou un acte d’exécution interrompent le délai. La demande amiable ne doit donc pas servir de prétexte pour attendre.
Reste la question des sanctions administratives, souvent confondue avec la réparation. La Commission peut contrôler, mettre en demeure, prononcer des mesures correctrices et des amendes, mais l’amende ne revient pas à la victime : seule l’action judiciaire indemnise. Les deux voies se complètent utilement. La réclamation devant la Commission établit le manquement dans un cadre officiel, pèse dans la négociation et éclaire le juge ; l’action en justice ordonne l’effacement sous astreinte et indemnise. Dans les dossiers de prospection persistante après opposition, la combinaison est redoutable : chaque message postérieur à l’opposition viole à la fois l’article 21 du règlement, qui impose la cessation du traitement à des fins de prospection, et l’article L34-5 du code des postes et des communications électroniques, qui interdit la prospection sans consentement hors l’exception étroite du client existant informé et jamais opposé. Le dossier aligne alors la violation, sa répétition datée et le préjudice né de cette répétition.
En conclusion, la méthode tient en quatre temps : demander l’effacement au responsable du traitement par écrit, avec le motif précis et une date certaine ; saisir la Commission au bout d’un mois de silence ou de refus ; porter le litige devant le juge pour obtenir l’injonction sous astreinte ; chiffrer et prouver le dommage poste par poste pour obtenir réparation. La conservation des données d’un compte supprimé n’est jamais anodine : passé le délai nécessaire à la clôture et aux obligations légales limitées, elle devient une violation que le droit sait faire cesser et indemniser. Vérifier ce que l’organisme garde encore sur vous constitue souvent la première étape, et la plus rentable.
Besoin d’un avis rapide sur votre dossier
Vous contestez la conservation de vos données après la suppression de votre compte et vous voulez un avis sur votre dossier en numérique et données personnelles. Maître Reda KOHEN, avocat au Barreau de Paris, vous reçoit en consultation téléphonique : 80 EUR TTC. Joignez le 06 46 60 58 22 ou écrivez via la page contact du cabinet.