Vous avez demandé la suppression de vos données personnelles et l’organisme ne répond pas ou oppose un refus sec. Cette situation, fréquente avec les sites marchands, les applications, les réseaux sociaux, les courtiers en données ou les anciens prestataires, obéit à un régime précis : le droit à l’effacement de l’article 17 du règlement général sur la protection des données, le délai de réponse d’un mois de l’article 12 du même règlement, la saisine de la Commission nationale de l’informatique et des libertés décrite par la CNIL et le recours juridictionnel effectif des articles 77 à 82. La fiche de Service-Public sur la protection des données personnelles rappelle les réflexes de base, tandis que la doctrine pratique distingue les bons recours selon les acteurs, éditeur ou exploitant de moteur de recherche. Cet article expose la méthode complète : qualifier la demande, prouver l’envoi et le silence, mettre en demeure, saisir la CNIL dans le cadre de l’article 51 de la loi Informatique et Libertés, puis agir devant le juge pour obtenir l’effacement, l’injonction sous astreinte et la réparation du préjudice.
Le point de départ tient en une phrase. Le règlement dispose que « l’effacement, dans les meilleurs délais ». Cette formule de l’article 17, paragraphe 1, du RGPD crée une obligation de résultat dès qu’un motif est établi. Le responsable doit répondre, motiver un refus éventuel et exécuter l’effacement sans attendre une décision administrative ou judiciaire. Le silence gardé plus d’un mois constitue déjà un manquement distinct de celui qui porte sur le fond du refus.
La pratique montre trois configurations. La première est le silence pur : accusé de réception automatique puis plus rien. La deuxième est la réponse dilatoire : demande de pièces excessives, renvoi vers un formulaire introuvable, promesse d’étude sans date. La troisième est le refus motivé en apparence : conservation pour la comptabilité, la sécurité, la lutte contre la fraude, la défense en justice ou la liberté d’expression. Chacune appelle la même discipline probatoire, mais des fondements différents au stade de la contestation. Un refus adossé à une obligation légale réelle ne se combat pas comme une absence de réponse.
I. Fonder la demande et faire constater le refus ou le silence
A. Choisir le bon motif d’effacement et viser le bon responsable
L’article 17 énumère six motifs. Les données « plus nécessaires au regard des finalités », selon le motif du a) de l’article 17, paragraphe 1. C’est le cas du compte clôturé dont le profil reste exploité, de la candidature non retenue conservée au-delà du délai annoncé, de l’historique d’achat utilisé pour un profilage non prévu. Le retrait du consentement, prévu au b), joue lorsque le traitement reposait sur l’article 6, paragraphe 1, point a), ou l’article 9, paragraphe 2, point a), « pas d’autre fondement juridique au traitement ». L’opposition de l’article 21, reprise au c), vise notamment la prospection : la personne « en vertu de l’article 21 », et l’effacement suit. Le d) couvre le « traitement illicite », par exemple une collecte sans base légale ou un détournement de finalité. Le e) vise l’obligation légale d’effacer prévue par le droit de l’Union ou le droit national. Le f) protège les données « services de la société de l’information », avec un régime renforcé pour les mineurs en droit français.
Identifier le responsable conditionne tout. Le responsable est celui qui détermine les finalités et les moyens : l’enseigne du site, l’éditeur de l’application, la régie publicitaire pour ses propres traceurs, le courtier qui revend les coordonnées. L’hébergeur simple ou le prestataire qui agit sur instruction reste sous-traitant. La demande doit partir au destinataire désigné dans la politique de confidentialité, avec copie au délégué à la protection des données quand il existe. Une demande adressée au seul sous-traitant qui la transfère au responsable reste valable, mais le délai court à compter de la réception par le responsable. En cas de groupe, viser la société qui édite le service utilisé, sans se contenter d’une adresse générique du groupe.
La demande doit être complète et sobre. Elle indique l’identité du demandeur avec un justificatif strictement nécessaire, le périmètre exact des données visées, le motif d’effacement invoqué parmi les six, le support de réponse attendu et la date d’envoi. Le modèle de courrier de la CNIL pour supprimer des données personnelles fournit un canevas utile. En droit commun, « Chacun a droit au respect de sa vie privée », selon l’article 9 du Code civil, et les juges peuvent prescrire toute mesure propre à faire cesser l’atteinte. Recommandé avec accusé de réception, message électronique avec accusé et conservation des en-têtes, formulaire en ligne avec capture datée et numéro de ticket : ces preuves fixent le point de départ du délai d’un mois. Toute pièce d’identité transmise doit être limitée au nécessaire et l’organisme doit la supprimer après vérification, sans l’ajouter à un nouveau fichier.
Les exceptions doivent être anticipées. Les paragraphes 1 et 2 de l’article 17 « la liberté d’expression et d’information », selon l’exception du a) de l’article 17, paragraphe 3. Les autres exceptions visent l’obligation légale de conservation, les motifs d’intérêt public en santé, l’archivage, la recherche et les statistiques, ainsi que « la défense de droits en justice ». Un commerçant peut conserver les factures le temps de la prescription, une banque les pièces de vigilance, un employeur certains documents sociaux. Mais la conservation ciblée n’autorise pas le maintien du profil marketing, de la géolocalisation fine ou de la republication en ligne. La réponse de l’organisme doit détailler, traitement par traitement, la base de conservation opposée. Un refus global et stéréotypé ne satisfait pas à l’obligation de motivation.
B. Compter le délai d’un mois, prouver le silence et mettre en demeure
Le délai gouverne la stratégie. Le règlement prévoit que « dans un délai d’un mois », selon l’article 12, paragraphe 3, du RGPD. La prolongation de deux mois pour les demandes complexes reste l’exception : elle doit être notifiée dans le premier mois avec ses motifs. Le texte ajoute que « la possibilité d’introduire une réclamation », selon l’article 12, paragraphe 4, du RGPD. Le silence total, comme la réponse qui n’explique rien et n’indique aucun recours, viole directement ces deux paragraphes.
Le droit français resserre encore le calendrier. L’article 51 de la loi Informatique et Libertés dispose que le droit à l’effacement « s’exerce dans les conditions prévues à l’article 17 du règlement (UE) 2016/679 du 27 avril 2016 », puis que « En cas de non-exécution de l’effacement des données à caractère personnel ou en cas d’absence de réponse du responsable du traitement dans un délai d’un mois à compter de la demande, la personne concernée peut saisir la Commission nationale de l’informatique et des libertés, qui se prononce sur cette demande dans un délai de trois semaines à compter de la date de réception de la réclamation », selon l’article 51 de la loi n° 78-17. Ce délai de trois semaines ne garantit pas une sanction en trois semaines, mais il impose à la CNIL un premier examen rapide et il offre au demandeur un repère pour relancer et pour articuler la voie administrative avec l’action judiciaire. Pour les données d’un mineur collectées dans le cadre des services de la société de l’information, le même article 51 exige l’effacement « dans les meilleurs délais » sur simple demande, avec information des tiers destinataires.
La preuve du silence se construit dès le premier courrier. Conserver l’original de la demande, la preuve de dépôt, l’accusé de réception, les relances datées, les captures du compte qui montre la persistance des données, les messages de prospection reçus après la demande, les attestations de tiers qui retrouvent le profil en ligne. Faire constater par commissaire de justice la présence maintenue des données, l’absence de réponse sur l’espace client et la poursuite des envois. Relever les numéros de ticket, les réponses automatiques et les changements de politique de confidentialité entre la demande et la relance. Chaque élément répond à une question précise du juge : quand la demande a-t-elle été reçue, que visait-elle exactement, que reste-t-il en ligne, quel préjudice en résulte.
La mise en demeure constitue le dernier acte avant l’escalade. Elle rappelle la demande initiale avec ses références, cite le motif d’effacement et le délai dépassé, énumère les données qui subsistent avec leurs preuves, fixe un délai final bref de huit à quinze jours et annonce la plainte auprès de la CNIL ainsi que l’action en justice avec injonction, astreinte et dommages-intérêts. Elle part en recommandé avec accusé de réception et par courrier électronique. Elle vise le représentant légal et le délégué à la protection des données. Elle demande la confirmation écrite de l’effacement, la liste des destinataires informés en application de l’article 19 du RGPD et l’attestation de purge des sauvegardes dans un calendrier défini. Une mise en demeure précise transforme un litige flou en manquement daté et chiffrable.
II. Saisir la CNIL puis le juge pour obtenir l’effacement et la réparation
A. La plainte devant la CNIL après le mois sans exécution
La voie administrative commence par une plainte en ligne. Le règlement ouvre à « le droit d’introduire une réclamation », selon l’article 77, paragraphe 1, du RGPD. La CNIL exige en pratique la démonstration d’une démarche préalable : copie de la demande au responsable, preuve de réception, mise en demeure et pièces montrant la persistance des données. Un dossier qui contient ces éléments reçoit un traitement plus rapide qu’une plainte qui se limite à une affirmation. La CNIL « l’état d’avancement et de l’issue », selon l’article 77, paragraphe 2, du RGPD.
Les pouvoirs de la CNIL couvrent l’instruction et la sanction. Le président peut mettre en demeure, le rapporteur instruire et la formation restreinte prononcer des mesures correctrices et des sanctions dans les conditions de la section 3 du chapitre VII de la loi du 6 janvier 1978. Les injonctions de mise en conformité, les limitations temporaires ou définitives du traitement et les amendes administratives figurent au premier rang. La loi vise notamment « L’injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, qui peut être assortie, sauf dans le cas où le traitement est mis en œuvre par l’Etat, d’une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte », selon l’article 21 de la loi n° 78-17. Pour les situations urgentes, la loi autorise une action en référé : « le président de la commission peut en outre demander, par la voie du référé, à la juridiction compétente d’ordonner, le cas échéant sous astreinte, toute mesure nécessaire à la sauvegarde de ces droits et libertés », en cas d’atteinte grave et immédiate ou, pour un mineur, en cas de non-exécution ou d’absence de réponse à une demande d’effacement, selon l’article 21 de la loi n° 78-17. Cette voie reste réservée aux cas les plus caractérisés, mais son existence renforce le poids d’une plainte documentée.
La plainte ne suspend pas l’action judiciaire et ne la conditionne pas. Une personne peut saisir la CNIL et le tribunal dans le même temps, ou choisir le juge seul après le mois de silence. La plainte présente trois apports tactiques : elle crée un constat administratif du manquement, elle pousse souvent l’organisme à exécuter avant la décision pour limiter la sanction, et elle fournit au juge des pièces d’instruction, échanges et mesures déjà ordonnées. Elle comporte aussi une limite : la CNIL ne répare pas le préjudice individuel et ne prononce ni dommages-intérêts ni injonction au profit direct du plaignant en dehors des mesures de conformité. Lorsque l’objectif premier est la disparition rapide des données et l’indemnisation, l’action devant le juge civil ou judiciaire reste le levier central.
Le suivi de la plainte doit être rigoureux. Noter le numéro de dossier, répondre aux demandes de pièces dans les délais, signaler toute persistance nouvelle avec des constats actualisés, informer la CNIL d’une exécution partielle pour recentrer la demande sur le reliquat. Si l’autorité ne traite pas la réclamation ou n’informe pas de l’état d’avancement dans un délai de trois mois, le règlement ouvre un recours contre l’autorité elle-même : « dans un délai de trois mois », selon l’article 78, paragraphe 2, du RGPD. En pratique, une relance structurée suffit le plus souvent avant d’envisager ce recours contre l’inaction.
B. Agir devant le juge : effacement, injonction sous astreinte et indemnisation
Le recours juridictionnel direct résulte du texte européen. Le règlement prévoit que « un recours juridictionnel effectif », selon l’article 79, paragraphe 1, du RGPD. L’action peut être portée « sa résidence habituelle » ou devant les juridictions de son État de résidence habituelle, selon l’article 79, paragraphe 2, du RGPD. Une personne qui réside en France peut donc agir devant le tribunal judiciaire de son domicile contre une société établie dans un autre État membre, sans devoir plaider à l’étranger. Cette option de proximité explique l’essor du contentieux français de l’effacement contre des plateformes, des courtiers et des éditeurs.
Le choix entre le référé et le fond dépend de l’évidence et de l’urgence. Le référé convient au silence pur et à la persistance manifeste : demande datée, délai d’un mois dépassé, données toujours visibles, constats à l’appui. Le juge des référés peut ordonner l’effacement, la désactivation d’un profil, la suppression d’un index interne et la notification aux destinataires, avec une astreinte par jour de retard. Ce pouvoir résulte de la règle suivante : « Le président du tribunal judiciaire ou le juge des contentieux de la protection dans les limites de sa compétence peuvent toujours, même en présence d’une contestation sérieuse, prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite », selon l’article 835 du Code de procédure civile. Le fond s’impose lorsque l’organisme oppose une exception sérieuse, comme une obligation légale de conservation ou la liberté d’expression, ou lorsque la réparation du préjudice exige une instruction complète. Dans les deux cas, les demandes doivent distinguer l’effacement des données, la cessation du traitement pour l’avenir et la réparation du passé. Une demande qui confond la suppression du compte, la fin de la prospection et l’effacement des sauvegardes expose le demandeur à une exécution partielle.
La charge de la preuve se répartit de façon pragmatique. Le demandeur prouve sa demande, sa date de réception, le périmètre visé et la persistance des données après le délai. Le responsable prouve le motif de conservation qu’il oppose, traitement par traitement, avec le texte exact, la durée et les mesures de limitation. Un tableau de correspondance entre chaque catégorie de données, sa finalité initiale, le motif d’effacement invoqué et l’exception opposée clarifie le débat. Les journaux de traitement, les politiques de purge, les attestations d’hébergeur et les confirmations des destinataires informés en application de l’article 19 complètent le dossier. Le juge écarte les affirmations générales sur la sécurité ou la fraude qui ne renvoient à aucune durée ni à aucune base vérifiable.
Les exceptions les plus débattues appellent une méthode resserrée. La liberté d’expression et d’information ne protège que ce qui reste nécessaire à cette finalité. L’arrêt de la Cour de cassation du 3 juin 2026, pourvoi n° 25-14.228, rejette ainsi la demande de suppression d’un article de presse rendu après une condamnation pénale, puis actualisé, en retenant la légitimité de l’information du public et l’absence de démonstration d’un préjudice disproportionné. La solution confirme que l’effacement d’une archive de presse obéit à une balance concrète entre la gravité des faits relatés, l’exactitude de l’article, son actualisation, son accessibilité réelle et le trouble allégué. À l’inverse, le maintien d’un profil commercial, d’un historique de géolocalisation ou d’une republication massive après la fin de la relation contractuelle ne bénéficie d’aucune protection comparable. La portée territoriale du déréférencement, tranchée par la Cour de justice dans l’affaire C-507/17 Google contre CNIL, dont le dispositif est consultable sur InfoCuria, distingue l’effacement chez l’éditeur et le déréférencement chez l’exploitant du moteur, avec des obligations différentes pour chacun.
La réparation du préjudice suit le régime de l’article 82. Le texte dispose que « réparation du préjudice subi », selon l’article 82, paragraphe 1, du RGPD. Le demandeur doit établir la violation, le dommage et le lien entre les deux. Le dommage matériel couvre les frais de constat, de courrier, de suivi, la perte d’opportunité professionnelle et les dépenses de sécurisation. Le dommage moral couvre l’angoisse de l’exposition, la perte de maîtrise de son image numérique, le harcèlement de prospection après opposition, le temps consacré à des démarches devenues nécessaires par la faute de l’organisme. Les juges évaluent la durée du maintien, l’audience du support, la sensibilité des données, le comportement de l’organisme avant et après la mise en demeure, ainsi que l’existence d’une exécution partielle. Le responsable ne s’exonère qu’en prouvant que « ne lui est nullement imputable », selon l’article 82, paragraphe 3, du RGPD. La simple allégation d’une erreur de prestataire ou d’un bug ne suffit pas sans démonstration des diligences.
L’articulation avec les autres voies complète le dispositif. L’opposition à la prospection de l’article 21 du RGPD renforce la demande d’effacement des coordonnées marketing. La notification aux destinataires de l’article 19 impose au responsable qui a communiqué les données de prévenir chaque destinataire de l’effacement, sauf impossibilité ou effort disproportionné. La plainte pénale pour collecte ou traitement illicite reste envisageable dans les cas graves, sans remplacer l’action civile en effacement : « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende », selon l’article 226-18 du Code pénal. Pour situer la demande d’effacement dans l’ensemble des droits d’accès et de copie, une lecture du dossier consacré au refus de copie des données personnelles éclaire la première étape probatoire, car l’accès précède souvent l’identification complète des traitements à effacer. Enfin, Paris et l’Île-de-France concentrent une part importante du contentieux : tribunal judiciaire de Paris pour les plateformes, CNIL à Paris pour la plainte, constats réalisables rapidement en région parisienne. La juridiction compétente, les délais pratiques de fixation en référé, les pièces à préparer et le canal procédural doivent être vérifiés avant l’assignation, sans présumer ni la compétence exclusive ni le quantum.
En conclusion, une demande de suppression ignorée ou refusée ne s’épuise ni dans une relance téléphonique ni dans la résignation. Le mois de l’article 12 fait courir un manquement autonome, l’article 51 de la loi du 6 janvier 1978 ouvre la saisine rapide de la CNIL dans les trois semaines, les articles 77 à 79 organisent la plainte et le recours effectif, et l’article 82 fonde la réparation du dommage matériel et moral. Le dossier qui réunit la demande initiale, la preuve de réception, le constat de persistance, la mise en demeure et la plainte obtient l’effacement plus vite et l’indemnise mieux que la contestation orale. « Chacun a droit au respect de sa vie privée », rappelle l’article 9 du Code civil : face au silence ou au refus, ce droit s’exerce par la procédure, pas par l’attente. La qualification précise du motif, la critique point par point de l’exception opposée et la demande distincte d’injonction sous astreinte et de dommages-intérêts forment le triptyque d’une action utile.