Supprimer l’application TikTok de son téléphone ne supprime ni le compte ni les données qui l’accompagnent : vidéos publiées ou en brouillon, messages privés, historique de visionnage, préférences et identifiants restent associés au compte tant que celui-ci existe. Pour les effacer, il faut supprimer le compte lui-même, puis, si nécessaire, exiger l’effacement des données que la plateforme conserverait encore. La démarche se joue en deux temps : un geste technique dans l’application, puis l’exercice de droits prévus par le règlement général sur la protection des données et la loi française, avec la CNIL et le juge en recours.
Ce guide décrit d’abord la suppression pas à pas, ce qu’elle efface et ce qui peut subsister, puis les moyens d’obtenir un effacement complet, y compris pour le compte d’un enfant, et la réparation en cas de violation persistante.
I. Supprimer le compte TikTok et couper la collecte
A. Désactiver ou supprimer : choisir le bon geste dans l’application
L’application propose deux gestes distincts, et le chemin décrit par l’aide officielle de la plateforme est le suivant : dans l’application, toucher Profil en bas de l’écran, puis le bouton Menu en haut, puis Paramètres et confidentialité, puis Compte, et enfin Désactiver ou supprimer le compte, en suivant ensuite les instructions affichées jusqu’à la confirmation. La désactivation suspend la visibilité du compte et interrompt l’usage, mais elle reste réversible : une reconnexion réactive le compte. La suppression, elle, vise la disparition définitive du compte et l’effacement des données qui lui sont attachées.
Concrètement, la suppression n’est pas instantanée : le compte passe d’abord par une phase de désactivation, pendant laquelle toute connexion le réactive, avant que la suppression devienne permanente au bout de 30 jours. Il faut donc laisser passer ce délai sans se reconnecter, y compris depuis un autre appareil ou via un service tiers connecté au compte. Avant de lancer la procédure, trois précautions s’imposent : récupérer l’accès au compte (adresse électronique ou numéro encore valable), révoquer les connexions tierces et télécharger une copie de ses données.
La copie des données se demande depuis l’application : Profil, Menu, Paramètres et confidentialité, Compte, puis Télécharger vos données, avec choix du contenu et du format avant d’envoyer la demande. Le fichier, qui peut comprendre le nom d’utilisateur, l’historique de visionnage, l’historique des commentaires et les paramètres de confidentialité, est préparé en quelques jours et reste disponible au téléchargement pendant une durée limitée, ce qui impose de le récupérer vite. Cette copie sert ensuite de preuve de ce que la plateforme détenait si l’effacement doit être réclamé.
Pour celles et ceux qui hésitent à partir définitivement, le passage du compte en privé constitue une alternative : le contenu cesse d’être visible publiquement pendant que le titulaire garde la main sur ses données et sur la suite. Cette option ne remplace toutefois pas l’effacement, car les données restent traitées par la plateforme.
Un cas fréquent mérite un traitement à part : le compte inaccessible. Adresse électronique perdue, numéro résilié, mot de passe oublié et authentification à deux facteurs bloquée : l’application refuse alors d’ouvrir la procédure depuis le téléphone. La première étape reste la récupération de l’accès par les moyens proposés par la plateforme, puis, si elle échoue, la demande écrite adressée au responsable du traitement avec les preuves d’identité et tout élément rattachant le demandeur au compte (anciennes adresses, captures, identifiant exact). Le droit d’accès appuie cette démarche : il permet d’obtenir la confirmation que des données sont traitées et d’en recevoir une copie, ce qui fige le périmètre avant l’effacement. En droit français, ce droit s’exerce dans les conditions de l’article 15 du règlement, et ses modalités pratiques sont les mêmes que celles de l’effacement : demande écrite, réponse dans le mois, puis CNIL et juge. Pour un ancien compte ouvert par un enfant avec l’adresse d’un parent, la demande parentale jointe à une pièce d’identité et à la preuve du lien lève la plupart des blocages d’identification.
Avant de demander l’effacement, le droit d’accès permet de savoir exactement ce que la plateforme détient : catégories de données, finalités, destinataires et durée de conservation envisagée. En droit français, « Le droit d’accès de la personne concernée s’exerce dans les conditions prévues à l’article 15 du règlement (UE) 2016/679 du 27 avril 2016 » (article 49 de la loi n° 78-17 du 6 janvier 1978). Exercé juste avant la suppression du compte, il fige le périmètre des données à effacer et révèle les traitements annexes, comme la prospection ou le partage avec des partenaires, que la demande d’effacement et l’opposition devront ensuite viser un par un. La réponse obtenue sert aussi de référence : toute donnée qui y figure et qui subsisterait après la suppression devient la preuve d’un effacement incomplet.
B. Ce que la suppression efface vraiment et ce qui peut subsister
La suppression du compte entraîne la disparition du profil public, des vidéos publiées et des brouillons stockés sur le compte. En revanche, plusieurs catégories de données peuvent subsister après la disparition du profil. D’abord, les messages privés déjà envoyés : leur copie demeure chez les destinataires, et l’effacement du compte de l’expéditeur ne les retire pas des boîtes de réception des autres utilisateurs. Ensuite, les contenus republiés, téléchargés ou enregistrés par des tiers échappent par nature à la suppression du compte d’origine. Enfin, la plateforme peut conserver certaines données sous une forme non directement rattachée au compte, par exemple des journaux techniques ou des données anonymisées.
Face à ces résidus, le droit fixe une limite claire : les données doivent être « conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées » (article 5, paragraphe 1, point e), du RGPD). Autrement dit, une fois le compte supprimé et les finalités du service éteintes, la conservation de données identifiantes doit cesser, sauf obligation légale précise ou traitement ultérieur compatible et loyalement fondé. Depuis ses réglages, l’utilisateur garde ainsi la main : mise à jour de ses informations, demande de copie de ses données, désactivation ou suppression du compte, et contestation des décisions prises sur ses demandes.
Un point mérite une vigilance particulière : la prospection et le profilage publicitaire. Tant que des données subsistent, elles peuvent alimenter du ciblage. Or « la personne concernée a le droit de s’opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection » (article 21, paragraphe 2, du RGPD), et en droit français « Le droit d’opposition s’exerce dans les conditions prévues à l’article 21 du règlement (UE) 2016/679 du 27 avril 2016 » (article 56 de la loi n° 78-17 du 6 janvier 1978). L’opposition à la prospection s’ajoute donc utilement à la suppression du compte : elle interdit toute réutilisation commerciale des données qui subsisteraient.
En attendant l’effacement complet, un droit reste sous-utilisé : la limitation du traitement. En droit français, « Le droit à la limitation du traitement s’exerce dans les conditions prévues à l’article 18 du règlement (UE) 2016/679 du 27 avril 2016 » (article 53 de la loi n° 78-17 du 6 janvier 1978). Concrètement, lorsque l’exactitude des données est contestée ou que le traitement est jugé illicite mais que l’effacement immédiat n’est pas encore obtenu, la personne peut exiger le gel de toute utilisation active pendant la vérification. Pour un compte TikTok en cours de suppression, cela signifie demander par écrit que les données résiduelles ne servent plus ni au ciblage ni à la recommandation, le temps que l’effacement soit exécuté. Cette mesure conservatoire ne remplace ni l’opposition ni l’effacement, mais elle sécurise la période intermédiaire et laisse une trace écrite exploitable devant la CNIL ou le juge.
Lorsque des contenus ont été rendus publics, le texte européen va plus loin : quand le responsable du traitement a rendu publiques des données qu’il doit effacer, il « prend des mesures raisonnables, y compris d’ordre technique, pour informer les responsables du traitement qui traitent ces données à caractère personnel que la personne concernée a demandé l’effacement par ces responsables du traitement de tout lien vers ces données à caractère personnel, ou de toute copie ou reproduction de celles-ci » (article 17, paragraphe 2, du RGPD). Cette répercussion de la demande protège notamment les vidéos devenues virales et reprises par d’autres comptes.
II. Quand la plateforme ne suit pas : effacement forcé, CNIL, juge et réparation
A. Le droit à l’effacement et le cas particulier du compte d’un enfant
Le droit à l’effacement ne dépend pas du bon vouloir de la plateforme. Le règlement dispose que « La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant » (article 17, paragraphe 1, du RGPD). Plusieurs motifs couvrent la situation d’un compte supprimé : les données ne sont plus nécessaires au regard des finalités du service ; surtout, « la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l’article 6, paragraphe 1, point a), ou à l’article 9, paragraphe 2, point a), et il n’existe pas d’autre fondement juridique au traitement » (article 17, paragraphe 1, point b), du RGPD) ; et « les données à caractère personnel ont été collectées dans le cadre de l’offre de services de la société de l’information visée à l’article 8, paragraphe 1 » (article 17, paragraphe 1, point f), du RGPD). La suppression du compte, qui manifeste le retrait du consentement et la fin de la relation de service, active donc directement ces motifs.
La demande s’adresse au responsable du traitement, en pratique la société éditrice de la plateforme pour l’Espace économique européen, par un canal qui laisse une trace : formulaire dédié, adresse prévue par la politique de confidentialité ou courrier. Elle doit identifier précisément le compte (nom d’utilisateur, adresse électronique ou numéro associé) et lister les données visées : compte, vidéos, brouillons, messages, historique, données de profilage. La plateforme doit répondre vite : « Le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d’une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande » (article 12, paragraphe 3, du RGPD). Ce texte ajoute que ce délai peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes, à condition d’en informer la personne dans le premier mois. Toute demande d’effacement après suppression du compte doit donc recevoir une réponse dans ce cadre, et le silence vaut refus actionnable.
Le droit français renforce encore la position des mineurs. D’abord, « un mineur peut consentir seul à un traitement de données à caractère personnel en ce qui concerne l’offre directe de services de la société de l’information à compter de l’âge de quinze ans » (article 45 de la loi n° 78-17 du 6 janvier 1978), de sorte qu’en dessous de quinze ans le consentement doit être donné conjointement avec les titulaires de l’autorité parentale. Ensuite, et c’est déterminant après une inscription précoce, « le responsable du traitement est tenu d’effacer dans les meilleurs délais les données à caractère personnel qui ont été collectées dans le cadre de l’offre de services de la société de l’information lorsque la personne concernée était mineure au moment de la collecte » (article 51, II, de la loi n° 78-17 du 6 janvier 1978). Un jeune majeur peut donc exiger l’effacement des données collectées quand il était mineur, et les parents peuvent agir pour le compte d’un enfant, y compris pour faire supprimer un compte ouvert avant l’âge requis. La même loi exige enfin que « lorsque les données à caractère personnel sont collectées auprès d’un mineur de moins de quinze ans, le responsable de traitement transmet au mineur les informations mentionnées à l’article 13 de ce règlement dans un langage clair et facilement accessible » (article 48 de la loi n° 78-17 du 6 janvier 1978).
La sensibilité des comptes d’enfants sur cette plateforme n’est pas théorique : elle a fait l’objet d’une intervention au niveau européen. Par sa décision contraignante 2/2023 du 2 août 2023, le Comité européen de la protection des données s’est prononcé sur le traitement des données personnelles d’enfants par la société éditrice de la plateforme, visant les utilisateurs âgés de 13 à 17 ans au regard de certaines pratiques de conception, ainsi que des questions relatives aux enfants de moins de 13 ans (EDPB, Binding Decision 2/2023 du 2 août 2023). Les pratiques de conception appliquées aux 13-17 ans, notamment les réglages de visibilité et l’information des jeunes utilisateurs, ainsi que le sort des comptes ouverts par des enfants de moins de 13 ans, ont ainsi été examinés par les autorités européennes. Pour les parents, ce précédent conforte des demandes fermes : vérification de l’âge à l’inscription, paramètres privés par défaut pour les comptes d’enfants et effacement rapide des comptes ouverts par des enfants en dessous de l’âge requis.
En cas de refus ou de silence persistant, la loi française ouvre un recours direct et rapide : « En cas de non-exécution de l’effacement des données à caractère personnel ou en cas d’absence de réponse du responsable du traitement dans un délai d’un mois à compter de la demande, la personne concernée peut saisir la Commission nationale de l’informatique et des libertés, qui se prononce sur cette demande dans un délai de trois semaines à compter de la date de réception de la réclamation » (article 51, II, de la loi n° 78-17 du 6 janvier 1978). La CNIL décrit la même démarche sur sa page consacrée au droit à l’effacement, qui vise notamment le cas d’un contenu gênant visible sur un réseau social (CNIL, Le droit à l’effacement). Si des données ont fuité ou circulent hors de la plateforme pendant ce temps, les réflexes de protection et de preuve décrits dans le guide consacré aux fuites de données personnelles, à la plainte CNIL et à la réparation restent utiles en parallèle. Et si des données risquent de disparaître, le droit prévoit une parade juridictionnelle : « En cas de risque de dissimulation ou de disparition des données à caractère personnel, le juge compétent peut ordonner, y compris en référé, toutes mesures de nature à éviter cette dissimulation ou cette disparition » (article 49 de la loi n° 78-17 du 6 janvier 1978).
B. Plainte CNIL, juge et réparation du préjudice
La plainte devant la CNIL constitue le recours administratif naturel. Le règlement ouvre à « toute personne concernée » « le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement » (article 77, paragraphe 1, du RGPD). Pour un résident français, la réclamation se dépose auprès de la CNIL, en joignant la demande d’effacement restée sans suite et la preuve de sa date d’envoi, afin de faire courir les délais. La démarche pratique, les relances et l’articulation avec le juge sont détaillées dans le guide consacré à la plainte CNIL sans réponse, aux relances et aux recours, qui sert de fil conducteur pour l’ensemble de ces recours.
L’action de la CNIL contre la plateforme montre que ces plaintes s’inscrivent dans un contrôle réel. Le 29 décembre 2022, sa formation restreinte a prononcé deux amendes de 2,5 millions d’euros visant les sociétés éditrices du service pour manquement aux règles sur les traceurs (délibération SAN-2022-027 du 29 décembre 2022) : refuser les traceurs devait être aussi simple que les accepter, et la mise en conformité avec un bouton de refus global n’est intervenue que le 28 février 2022. Cette sanction de 5 millions d’euros au total, prononcée contre les sociétés éditrices de la plateforme et annoncée en janvier 2023, portait sur le recueil du consentement aux traceurs : refuser devait être aussi simple qu’accepter. Elle illustre que l’autorité contrôle concrètement les interfaces de la plateforme, y compris sur les parcours de consentement que les utilisateurs rencontrent avant même de songer à supprimer leur compte.
Parallèlement à la voie administrative, le recours au juge reste ouvert à tout moment : « chaque personne concernée a droit à un recours juridictionnel effectif si elle considère que les droits que lui confère le présent règlement ont été violés du fait d’un traitement de ses données à caractère personnel effectué en violation du présent règlement » (article 79, paragraphe 1, du RGPD). Devant le tribunal judiciaire, le demandeur peut solliciter l’effacement sous astreinte, la cessation du traitement et l’indemnisation de son préjudice. La demande doit être documentée : copie des données téléchargées avant suppression, captures du compte et des paramètres, échanges avec la plateforme, preuve de la réclamation CNIL et, le cas échéant, constats des contenus encore visibles.
La réparation, enfin, ne suppose pas un préjudice spectaculaire. Le règlement dispose que « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi » (article 82, paragraphe 1, du RGPD). La Cour de justice a précisé la portée de ce droit dans un arrêt du 4 mai 2023 : d’une part, la simple violation du règlement ne suffit pas à ouvrir droit à réparation, car un préjudice causé par la violation doit être démontré (point 1) ; d’autre part, le droit européen s’oppose à une règle nationale qui subordonnerait la réparation du dommage moral à un seuil minimal de gravité du préjudice (point 2) (CJUE, 3e ch., 4 mai 2023, Österreichische Post, C-300/21). Autrement dit, l’exposition prolongée de vidéos que l’on voulait retirer, la prospection subie malgré l’opposition ou l’angoisse liée à la circulation de données d’un enfant peuvent fonder une indemnisation sans seuil de gravité, dès lors que le lien entre la violation et le préjudice est établi. Le montant relève ensuite des règles nationales de la réparation, sous réserve des principes d’équivalence et d’effectivité du droit de l’Union (point 3).
Devant la CNIL comme devant le juge, la preuve fait la différence. Conservez la copie des données téléchargées avant la suppression, les captures du profil et des paramètres de confidentialité, les messages échangés avec la plateforme et les accusés de réception de chaque demande, ainsi que les constats des contenus qui resteraient visibles après la suppression. Notez chaque date : demande d’effacement, réponse ou silence à l’expiration du mois, réclamation CNIL et suites données. Un dossier daté et complet transforme une plainte vague en demande vérifiable, et il fonde ensuite la démonstration du préjudice si une réparation est sollicitée.
Conclusion
Supprimer son compte TikTok commence dans l’application, par le chemin Profil, Menu, Paramètres et confidentialité, Compte, puis désactivation ou suppression, après avoir téléchargé une copie de ses données. La suppression du profil ne suffit pourtant pas toujours : messages conservés chez les destinataires, contenus repris par des tiers et données résiduelles exigent l’exercice exprès du droit à l’effacement, avec réponse due dans le mois, puis la saisine de la CNIL, qui se prononce dans les trois semaines en matière d’effacement des données de mineurs, et le recours au juge pour ordonner l’effacement et indemniser le préjudice, sans seuil de gravité pour le dommage moral. Pour le compte d’un enfant, l’exigence est plus stricte encore : consentement parental en dessous de quinze ans et effacement des données collectées pendant la minorité. Menée dans cet ordre, la démarche laisse peu de place aux données fantômes.