Votre contrat est terminé depuis des années et vos données sont toujours là : compte client jamais supprimé, ancien abonnement qui ressurgit lors d’une fuite, dossier conservé sans raison affichée. Cette situation relève d’une règle simple du règlement européen sur les données personnelles : les informations doivent être, selon le texte, « conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées » (article 5 du RGPD). Quand la finalité est éteinte, la conservation doit cesser, par suppression, anonymisation ou archivage encadré. La Commission nationale de l’informatique et des libertés contrôle ce point avec une attention croissante : le 8 janvier 2026, elle a sanctionné deux sociétés du même groupe de télécommunications pour des manquements incluant la durée de conservation, avec 27 millions d’euros d’amende pour l’une et 15 millions pour l’autre, soit 42 millions au total (communiqué de la CNIL, délibération SAN-2026-001). Cet article explique comment exiger l’effacement et la purge de vos données, comment saisir la CNIL et le juge pour obtenir réparation, et comment une entreprise visée par une mise en demeure sur les durées doit se mettre en règle et exécuter l’injonction. Il suit le guide de la CNIL sur les durées de conservation, qui distingue la base active, l’archivage intermédiaire et le sort final des données.
I. Vos données sont gardées trop longtemps : exiger l’effacement et la purge
A. Demander l’effacement, la preuve de la purge et la fin de la conservation abusive
Le droit à l’effacement couvre précisément le cas des données devenues inutiles : toute personne peut obtenir du responsable du traitement l’effacement de ses données « dans les meilleurs délais » dès lors que « les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière » (article 17 du RGPD). Un contrat résilié, un compte fermé, une candidature rejetée depuis plusieurs années ou une prospection qui n’a jamais abouti entrent dans ce motif dès lors que l’organisme ne démontre plus la finalité actuelle de la conservation. La demande s’adresse directement à l’organisme, par écrit, en identifiant le compte ou le contrat et en visant les données à supprimer, y compris les copies et les sauvegardes actives. Le responsable doit répondre « dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande », ce délai pouvant être prolongé de deux mois en cas de complexité, à condition d’en informer la personne et d’en donner les motifs dans le premier mois (article 12 du RGPD). La CNIL reprend ce calendrier sur sa page consacrée au droit à l’effacement et précise qu’en cas de réponse insatisfaisante ou d’absence de réponse sous un mois, la plainte devant elle devient possible. Conservez donc la preuve de l’envoi, la date de réception et toute la correspondance : ces pièces conditionnent la suite.
L’effacement ne se limite pas à la disparition de l’affichage en ligne. Une purge sérieuse suppose la suppression dans la base active, le retrait des environnements de test et de préproduction alimentés par des copies de production, et la gestion des sauvegardes selon un cycle documenté. Le guide de la CNIL impose de séparer la base active de l’archivage intermédiaire : quand la conservation reste nécessaire pour une raison précise, par exemple une obligation comptable ou la défense d’un litige, les données basculent dans un espace distinct, à accès restreint, pour une durée déterminée, puis elles sont supprimées ou anonymisées à l’échéance. L’exemple donné par la CNIL est parlant : les données de facturation peuvent être conservées dix ans en application du Code de commerce alors même que la personne n’est plus cliente, mais dans ce cadre d’archivage et non en base active. Le Code de commerce dispose en effet que « Les documents comptables et les pièces justificatives sont conservés pendant dix ans » (article L123-22 du Code de commerce). Toute autre conservation prolongée doit reposer sur une finalité réelle et une durée fixée à l’avance : garder l’intégralité d’un dossier client « au cas où » ou maintenir des années de relevés détaillés sans usage défini ne satisfait pas à cette exigence. Si l’organisme oppose un motif de conservation, demandez-lui d’indiquer par écrit la finalité précise, le fondement et la durée restante, puis la date de suppression prévue. Une réponse vague ou l’absence de date constituent déjà des éléments utiles pour la suite du recours.
L’effacement connaît toutefois des limites que le juge applique strictement. Le règlement les énumère : liberté d’expression et d’information, obligation légale de conservation, motif d’intérêt public en santé, archivage public ou recherche, et constatation ou défense de droits en justice. La cour d’appel de Paris l’a rappelé le 20 février 2026 dans une affaire opposant un ancien dirigeant sportif à un éditeur de presse : le tribunal puis la cour ont jugé que le maintien en ligne d’une brève relatant une condamnation pénale définitive restait nécessaire à l’exercice de la liberté d’expression et d’information, et que l’anonymisation demandée ferait perdre au public tout intérêt à l’article. La cour vise l’article 51 de la loi du 6 janvier 1978, qui dispose que le droit à l’effacement s’exerce dans les conditions prévues à l’article 17 du règlement européen, et déboute le demandeur de l’ensemble de ses prétentions (CA Paris, pôle 4 chambre 10, 20 février 2025, n° 21/15496). La leçon est nette : face à un traitement de presse relatant des faits avérés et d’intérêt public, l’effacement échoue, tandis que face à un fichier commercial ou un compte inactif conservé sans finalité, il prospère. Avant d’agir, qualifiez donc votre situation : données commerciales ou administratives sans usage actuel d’un côté, contenus journalistiques, obligations légales ou pièces nécessaires à un procès en cours de l’autre. Cette qualification détermine toute la stratégie. Cette qualification détermine toute la stratégie. Pendant l’instruction de votre demande, un droit d’attente protège vos données : vous pouvez obtenir la limitation du traitement lorsque vous contestez l’exactitude des informations, quand le traitement est illicite et que vous préférez la limitation à l’effacement, ou quand l’organisme n’a plus besoin des données mais qu’elles vous restent nécessaires pour un procès. Les données ainsi gelées ne peuvent alors, sauf conservation, être utilisées qu’avec votre accord ou pour la défense de droits en justice, et vous devez être informé avant toute levée de la limitation (article 18 du RGPD). Concrètement, si un ancien employeur ou un commerçant discute votre demande d’effacement, exigez par écrit le gel de toute utilisation active le temps de la vérification : cela empêche la réutilisation commerciale ou la transmission à des partenaires pendant le différend, sans détruire des pièces qui pourraient servir devant le juge. Ce verrou provisoire complète utilement la demande d’effacement quand l’organisme traîne pour répondre.
B. Saisir la CNIL, aller devant le juge et obtenir réparation du préjudice
Quand l’organisme refuse, répond de façon évasive ou garde le silence, la plainte devant la CNIL devient l’arme principale. La plainte s’effectue en ligne (adresser une plainte à la CNIL) après la démarche préalable auprès de l’organisme, en joignant la demande d’effacement, les preuves d’envoi et de réception, les réponses reçues et tout élément montrant l’ancienneté de la conservation. La CNIL peut alors contrôler l’organisme : ses pouvoirs d’enquête incluent l’accès aux données, aux informations et aux locaux (article 58 du RGPD), et la loi française organise la phase de mise en demeure puis, en cas de persistance, la sanction par la formation restreinte, avec des amendes pouvant atteindre 20 millions d’euros et 4 % du chiffre d’affaires mondial annuel (article 20 de la loi du 6 janvier 1978). L’affaire Free Mobile de janvier 2026 montre le déroulé concret : un contrôle révèle des millions de données d’abonnés conservées sans durée conforme à la finalité, la formation restreinte retient le manquement à la limitation de la conservation avec les manquements à la sécurité et à l’information des personnes après violation, et prononce « 27 000 000 (vingt-sept millions) d’euros » assortie d’une injonction de purger sous six mois avec « 50 000 (cinquante mille) euros par jour » (délibération SAN-2026-001). Pour la personne qui a saisi la CNIL, l’effet pratique est direct : le contrôle fait constater la conservation illicite et l’injonction impose la purge sous contrainte financière. Si la CNIL classe la plainte ou reste silencieuse, le recours devant le Conseil d’État contre la clôture demeure ouvert, et la décision juridictionnelle obtenue sur l’effacement peut elle-même être exécutée sous astreinte par le juge judiciaire.
La réparation du préjudice suit un régime propre qu’il faut comprendre avant de chiffrer. Le règlement dispose que « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » (article 82 du RGPD). La Cour de justice de l’Union européenne a fixé trois conditions cumulatives dans son arrêt du 4 mai 2023 : une violation du règlement, un préjudice matériel ou moral, et un lien de causalité entre les deux. Une simple violation ne suffit donc pas à elle seule, mais aucun seuil de gravité ne peut être exigé pour le préjudice moral, et les règles nationales d’évaluation ne doivent pas vider ce droit de sa substance (CJUE, 4 mai 2023, C-300/21, Österreichische Post). Concrètement, la conservation indéfinie de vos données cause rarement un préjudice spectaculaire, mais elle fonde des chefs réels : démarches répétées et temps perdu face à un organisme qui n’exécute pas, inquiétude liée à l’exposition prolongée de données sensibles, et surtout aggravation du dommage lors d’une fuite ultérieure, puisque des données qui auraient dû être purgées se retrouvent entre les mains d’attaquants. Dans l’affaire Free Mobile, la formation restreinte a relevé que la profondeur historique des données conservées au-delà du nécessaire exposait davantage d’abonnés et d’informations anciennes à la violation, ce qui a pesé dans l’appréciation de la gravité. Pour votre dossier, documentez chaque poste : copies des demandes restées sans effet, captures du compte toujours actif, attestations sur le temps consacré, et tout usage anormal constaté, comme une prospection sur une ligne résiliée ou une réactivation inexpliquée. Le tribunal judiciaire statue sur cette réparation, et la demande peut se cumuler avec l’injonction d’effacer sous astreinte. Les montants restent fixés au cas par cas selon les pièces, sans barème automatique : une demande étayée par des preuves précises obtient davantage qu’une allégation générale de stress. Si vos données ont en plus circulé après une fuite, conservez la notification reçue, les relevés d’usurpation et les frais engagés, car la chaîne entre conservation excessive, violation et dommage devient alors lisible pour le juge.
II. Entreprise mise en demeure sur les durées : purger, prouver et éviter la sanction
A. Fixer les durées par finalité, séparer la base active des archives et purger réellement
Une mise en demeure visant les durées de conservation ne se traite pas par une promesse de principe : elle exige un référentiel de durées, des purges exécutées et des preuves. La règle de fond reste la limitation de la conservation à la durée nécessaire à chaque finalité, avec anonymisation ou archivage intermédiaire à l’échéance (article 5 du RGPD). Le guide de la CNIL structure la démarche en trois temps : la base active, où les données restent accessibles aux équipes pour l’usage courant ; l’archivage intermédiaire, séparé physiquement ou logiquement de la base active avec des accès restreints, pour les conservations justifiées par une obligation ou un contentieux ; puis la suppression ou l’anonymisation définitive. Chaque traitement doit donc être passé en revue : clients actifs, anciens clients, prospects, candidatures, logs techniques, enregistrements téléphoniques, images de vidéosurveillance. Pour chacun, fixez la durée de base active, l’éventuelle durée d’archivage avec son motif exact, et la date ou l’événement qui déclenche la purge. L’exemple comptable vaut pour tous : seules les données nécessaires à l’obligation légale basculent en archive pour dix ans (article L123-22 du Code de commerce), le reste du dossier client suit le sort de la relation terminée. La CNIL a sanctionné en 2026 un opérateur qui avait conservé des millions de données d’abonnés sans démontrer cette articulation : la politique de durées existait sur le papier mais n’était pas implémentée, sans mécanisme de purge dans la base et sans tri entre ce qui relevait de l’obligation comptable et ce qui aurait dû disparaître (délibération SAN-2026-001). Un tableau de durées non appliqué aggrave la situation au lieu de protéger.
La purge doit être technique et vérifiable, car le contrôleur ne se contente pas d’attestations. Recensez les lieux de conservation : base de production, sauvegardes et leur cycle de rotation, environnements de développement et de test souvent clonés depuis la production, outils du sous-traitant et exports bureautiques. Mettez en place un mécanisme de purge automatisée fondé sur la date de fin de relation ou d’inactivité, avec journalisation des suppressions, et traitez les sauvegardes selon un cycle documenté garantissant la disparition effective à l’échéance. Encadrez le sous-traitant : le règlement impose un contrat précisant la durée de conservation et le sort des données en fin de prestation, avec suppression ou renvoi au choix du responsable (articles 28 et 30 du RGPD), et la CNIL a déjà sanctionné des montages où un sous-traitant conservait des données sans autorisation. Inscrivez chaque durée dans le registre des activités de traitement, qui doit refléter pour chaque finalité les catégories de données, les destinataires et les délais d’effacement, et tenez-le à disposition du contrôleur : un registre muet sur les durées transforme un simple retard de purge en manquement documenté. Mettez à jour vos mentions d’information avec les durées retenues et informez les personnes, car l’information sur la durée de conservation fait partie des mentions dues et son absence constitue un grief autonome fréquemment relevé à côté de celui des durées. Enfin, mesurez l’effet de la purge sur le risque de violation : moins de données historiques signifie moins de personnes exposées et moins d’informations anciennes compromises en cas d’attaque, ce que la formation restreinte a explicitement pris en compte pour apprécier la gravité dans la sanction de janvier 2026. Une entreprise qui purge réellement réduit donc à la fois sa surface d’exposition et le montant encouru.
B. Répondre dans le délai, exécuter l’injonction et contester sans aggraver le cas
La procédure française devant la CNIL suit un ordre que l’entreprise doit respecter sans improvisation. Après le contrôle, le président peut mettre en demeure le responsable de se conformer dans un délai qu’il fixe, délai qui peut être réduit à vingt-quatre heures en cas d’urgence, et il prononce ensuite la clôture de la procédure si la mise en conformité est constatée (article 20 de la loi du 6 janvier 1978). Si la mise en demeure reste sans effet, la formation restreinte peut prononcer l’amende, l’injonction de mettre le traitement en conformité sous un délai qui ne peut être inférieur à un délai minimal légal, et l’astreinte, dont le montant journalier ne peut excéder 100 000 euros par jour de retard. Dans l’affaire Free Mobile, l’injonction relative à la conservation a été assortie d’un délai de six mois pour déployer le mécanisme de purge des contrats résiliés depuis plus de dix ans et réaliser le tri comptable, avec une astreinte journalière de 50 000 euros liquidable à l’issue du délai (délibération SAN-2026-001). Dès réception de la mise en demeure, arrêtez donc le compteur : accusez réception, qualifiez chaque grief, lancez le chantier de purge et d’archivage, et adressez des justificatifs précis avant l’échéance, avec captures, journaux de purge, extraits de registre mis à jour et attestations techniques. Une mise en conformité démontrée avant la séance de la formation restreinte pèse sur le montant de l’amende, dont les critères légaux incluent la gravité, la durée, le nombre de personnes affectées, la coopération et les mesures prises pour atténuer le dommage (article 83 du RGPD). À l’inverse, contester la matérialité des constats sans purger, ou invoquer une erreur de déclaration découverte pendant le contrôle, n’efface pas le manquement si les données sont toujours là.
Le recours contre la sanction s’exerce devant le Conseil d’État, dans un délai de deux mois à compter de la notification, comme le rappelle chaque délibération de sanction. Ce recours n’est pas suspensif de plein droit : l’amende reste due et l’injonction court pendant l’instance, sauf suspension obtenue du juge des référés dans les conditions du droit commun du contentieux administratif. La stratégie contentieuse doit donc combiner exécution et contestation : exécutez la purge et documentez-la pour stopper l’astreinte, tout en soulevant devant le Conseil d’État les moyens sérieux, comme la proportionnalité de l’amende, la distinction entre les personnes morales sanctionnées ou la portée exacte de l’injonction. Les moyens de pure forme prospèrent rarement quand les constats techniques sont établis par les journaux du contrôle. Pour un éclairage complet sur la contestation des sanctions, de l’injonction et de la publicité, notre analyse des sanctions de la CNIL et des recours devant le Conseil d’État détaille la démarche, les délais et les pièces à réunir. Enfin, tirez les conséquences internes de l’épisode : désignez les responsables de la purge, planifiez les contrôles périodiques des durées, intégrez la fin de vie des données dans chaque nouveau projet et conservez la traçabilité des suppressions. Une entreprise capable de montrer, pièces à l’appui, qu’elle a purgé, archivé à accès restreint ce qui devait l’être et informé les personnes, transforme une mise en demeure en clôture plutôt qu’en sanction.
En conclusion, la conservation des données obéit à une logique de fin de vie : chaque information a une finalité, chaque finalité a une durée, et chaque durée dépassée expose à l’effacement forcé, à la mise en demeure et à la sanction. La sanction de 42 millions d’euros prononcée en janvier 2026 contre deux sociétés de télécommunications l’illustre sans détour : des millions de données d’abonnés gardées sans durée conforme, une politique de purge restée théorique, et la violation qui révèle l’ampleur du stock inutilement exposé. Pour la personne concernée, la marche à suivre tient en quatre réflexes : demander l’effacement par écrit en visant l’article 17, exiger la finalité et la date de suppression en cas de refus, saisir la CNIL au bout d’un mois sans réponse satisfaisante, puis demander au juge l’injonction sous astreinte et la réparation du préjudice documenté. Pour l’entreprise mise en demeure, la réponse tient en quatre chantiers menés en parallèle : référentiel de durées par traitement, séparation entre base active et archivage à accès restreint, purge technique avec journaux, et justificatifs adressés avant l’échéance. Dans les deux cas, les pièces font la décision : preuves d’envoi et captures d’un côté, journaux de purge et registre à jour de l’autre. Et lorsque l’effacement se heurte à la liberté d’informer, à une obligation légale ou aux nécessités d’un procès, l’arbitrage du juge tranche au cas par cas, comme l’a montré la cour d’appel de Paris en 2025. Ne laissez donc ni un stock de données sans durée ni une demande d’effacement sans réponse : le premier appelle la sanction, la seconde ouvre le recours.
Besoin d’un avis rapide sur votre dossier
Vous êtes concerné par des données conservées sans limite ou par une mise en demeure de la CNIL sur vos durées de conservation : obtenez un avis sur votre dossier en numérique et données personnelles avec Maître Reda KOHEN, avocat au Barreau de Paris. Consultation téléphonique en 48 heures avec un avocat du cabinet. Appelez le 06 46 60 58 22 ou écrivez via la page contact du cabinet.