Vous avez demandé la suppression de votre compte et suivi la procédure jusqu’au bout, parfois même reçu un message de confirmation. Pourtant, quelques semaines plus tard, les courriels commerciaux continuent d’arriver, votre profil reste visible dans les résultats de recherche, ou une simple tentative de reconnexion rouvre le compte avec l’intégralité de son historique. La suppression promise n’a été qu’apparente : la plateforme conserve vos données et continue de les exploiter. Cette situation, fréquente avec les réseaux sociaux, les places de marché, les applications de rencontre et les services en ligne par abonnement, n’est pas une fatalité technique. Le droit européen vous donne un levier direct et contraignant.

Le droit européen impose au responsable du traitement d’effacer les données personnelles dans les meilleurs délais dès que l’un des motifs légaux est réuni. Le Conseil d’État rappelle ainsi la règle applicable dans une décision du 6 décembre 2019 : « 1. La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais, lorsque l’un des motifs suivants s’applique ». Ce droit à l’effacement, souvent appelé droit à l’oubli, s’applique pleinement aux comptes en ligne : une fois que vous retirez votre consentement ou que les données ne sont plus nécessaires au service, l’exploitant doit effacer, pas seulement désactiver. S’il refuse, répond de façon évasive ou garde le silence, deux voies s’ouvrent à vous : la réclamation devant la Commission nationale de l’informatique et des libertés et le recours direct devant le juge, avec à la clé une injonction de suppression et la réparation de votre préjudice.

Cet article décrit pas à pas la méthode qui conduit à l’effacement effectif : identifier le bon interlocuteur, formuler une demande juridiquement complète, gérer le délai d’un mois, puis saisir la Commission ou le tribunal en cas d’échec. Il s’appuie sur les textes applicables, les recommandations officielles de la Commission, le modèle de courrier pour clôturer un compte en ligne mis à disposition par l’autorité, les fiches pratiques de l’administration et la jurisprudence du Conseil d’État sur la conservation des données et les sanctions.

I. Votre demande d’effacement oblige la plateforme, à condition d’être complète et bien adressée

A. Le droit à l’effacement couvre votre compte, vos contenus et les copies qui en dérivent

Le fondement principal figure à l’article 17 du règlement. En droit interne, la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés confie l’application de ces règles à la Commission nationale de l’informatique et des libertés, autorité administrative indépendante, et son article 51 dispose que : « Le droit à l’effacement s’exerce dans les conditions prévues à l’article 17 du règlement (UE) 2016/679 du 27 avril 2016 », comme l’a rappelé le Conseil d’État dans une décision du 6 décembre 2019. L’effacement peut être exigé dès que l’un des six motifs prévus par le texte est réuni : les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées, vous retirez le consentement sur lequel reposait le traitement sans qu’il existe un autre fondement juridique, vous vous opposez au traitement sans motif légitime impérieux contraire, les données ont fait l’objet d’un traitement illicite, elles doivent être effacées pour respecter une obligation légale, ou elles ont été collectées dans le cadre de l’offre de services de la société de l’information à un enfant. Pour un compte en ligne ordinaire, les deux premiers motifs suffisent dans l’immense majorité des cas : le contrat est terminé puisque vous avez demandé la clôture, et le consentement aux traitements annexes, notamment publicitaires, est retiré.

L’obligation ne se limite pas à rendre le profil invisible. Lorsque l’exploitant a rendu vos données publiques et qu’il est tenu de les effacer, le règlement lui impose de prendre des mesures raisonnables, y compris d’ordre technique, pour avertir les autres responsables qui traitent ces données de votre demande d’effacement, laquelle vise aussi bien les liens vers ces données que leurs copies ou reproductions. Concrètement, la plateforme qui a diffusé vos photographies, vos pseudonymes ou vos publications vers des partenaires, des moteurs de recherche ou des services d’agrégation doit signaler votre demande d’effacement à ces destinataires. C’est ce point qui distingue la désactivation, simple masquage réversible, de l’effacement, destruction des données et propagation de la demande.

Deux principes généraux renforcent votre position. D’abord, la minimisation : les données doivent rester adéquates, pertinentes et strictement limitées à ce qui est nécessaire au regard de leurs finalités. Ensuite, la limitation de la conservation : elles ne peuvent être conservées sous une forme identifiante au-delà de la durée nécessaire à leurs finalités. Une plateforme ne peut donc pas conserver indéfiniment l’intégralité d’un compte clôturé au cas où l’utilisateur reviendrait, ni alimenter ses modèles statistiques ou publicitaires avec des données dont la finalité initiale a disparu. Le Conseil d’État l’a rappelé en validant une sanction de 175 000 euros prononcée par la Commission contre un opérateur de services numériques pour manquement au principe de minimisation et aux règles de conservation, par une décision du 6 décembre 2023. La conservation massive et durable de données d’utilisateurs désinscrits constitue précisément le type de manquement visé. Symétriquement, lorsque la conservation est autorisée par la loi, elle n’est admise que dans un cadre strictement défini : le Conseil d’État, le 30 juin 2023, a rejeté les recours d’opérateurs de communications électroniques contre les décrets fixant les catégories de données de connexion susceptibles d’être conservées, dans une décision qui confirme ce contrôle étroit.

La plateforme dispose toutefois d’exceptions limitativement énumérées, qu’elle doit démontrer et non simplement affirmer. L’effacement est écarté lorsque le traitement reste nécessaire à l’exercice de la liberté d’expression et d’information, au respect d’une obligation légale, notamment comptable ou fiscale, qui impose de conserver certaines données, à des motifs d’intérêt public dans le domaine de la santé, à des fins archivistiques, scientifiques, historiques ou statistiques encadrées, ou à la constatation, à l’exercice ou à la défense de droits en justice. La Cour de cassation a ainsi rejeté, le 3 juin 2026, le pourvoi d’un demandeur qui exigeait l’effacement d’archives de presse anciennes, jugeant que l’intérêt public de l’information et la liberté d’expression faisaient obstacle à sa demande dans les circonstances de l’espèce. Mais ces exceptions ne couvrent ni la prospection commerciale postérieure à la clôture, ni la conservation de convenance, ni le profilage publicitaire. Une facture doit être conservée dix ans pour l’administration fiscale ; un historique de navigation ou des photographies de profil ne relèvent d’aucune obligation légale de conservation.

Un cas particulier mérite d’être isolé : la prospection qui se poursuit après la suppression du compte. Lorsque vos données sont utilisées à des fins de prospection, vous pouvez vous opposer à tout moment au traitement de vos données à des fins de prospection, y compris au profilage lié à cette prospection, et dès lors que vous exercez cette opposition, vos données ne doivent plus être traitées à ces fins. Ici, aucun motif légitime de l’exploitant ne peut prévaloir : l’opposition à la prospection est absolue. Chaque message commercial reçu après votre demande constitue donc une violation distincte, facile à prouver par la simple production des messages, et aggrave la position de la plateforme devant l’autorité de contrôle comme devant le juge. Si votre litige porte aussi sur des sollicitations commerciales persistantes, l’analyse consacrée aux comptes conservés à des fins de prospection détaille les règles applicables à ce volet.

Enfin, sachez que tout responsable qui a communiqué vos données à d’autres destinataires doit les en aviser : sauf impossibilité ou effort disproportionné, il notifie à chaque destinataire toute rectification, tout effacement ou toute limitation, et vous informe de ces destinataires si vous le demandez. Cette obligation de notification, prévue à l’article 19 du règlement, permet de remonter la chaîne des partenaires publicitaires ou techniques et d’obtenir la liste des organismes qui détiennent encore vos informations.

B. La demande qui aboutit : bon destinataire, périmètre complet et preuves conservées

La première étape consiste à identifier le responsable du traitement, c’est-à-dire l’organisme qui détermine les finalités et les moyens. Pour les grandes plateformes, il s’agit généralement de la filiale européenne établie en Irlande ou au Luxembourg, dont les coordonnées figurent dans la politique de confidentialité et les mentions légales. Adressez votre demande à cet organisme, et non au simple service d’assistance commerciale, et utilisez de préférence le canal dédié lorsqu’il existe : formulaire de protection des données, adresse électronique du délégué à la protection des données ou courrier recommandé. Le règlement impose au responsable de faciliter l’exercice de vos droits, et lorsque la demande est présentée par voie électronique, la réponse doit en principe suivre la même voie. Si la plateforme n’offre qu’un bouton de désactivation sans véritable suppression, ce bouton ne suffit pas : doublez-le d’une demande écrite et explicite d’effacement fondée sur l’article 17.

Le contenu de la demande détermine son efficacité. La fiche de l’administration consacrée à la démarche et le modèle de la Commission invitent à préciser votre identité, le compte concerné et le périmètre exact de l’effacement demandé. Inspirez-vous du modèle officiel de courrier de clôture de compte, qui demande la suppression de l’ensemble des données rattachées au compte et l’information sur les mesures prises dans les meilleurs délais et au plus tard dans un délai d’un mois. Votre courrier doit viser : la clôture du compte et la suppression des données d’identification, des contenus publiés, des historiques de connexion et de navigation, des données de géolocalisation et des inférences ou scores établis à partir de votre activité ; l’information des tiers destinataires en application des articles 17 et 19 ; la cessation de toute prospection en application de l’article 21 ; et la communication des mesures prises dans le délai d’un mois prévu à l’article 12. Demandez également la liste des destinataires auxquels vos données ont été communiquées, afin de vérifier ensuite que l’information a bien circulé.

La question de la preuve d’identité mérite une attention particulière. La plateforme peut vous demander un justificatif si elle a un doute raisonnable sur votre identité, mais elle ne peut pas exiger des pièces disproportionnées, comme une copie de pièce d’identité pour un compte créé sous pseudonyme avec une simple adresse électronique, ni utiliser cette vérification comme prétexte pour collecter des données supplémentaires. Fournissez le strict nécessaire : identifiant du compte, adresse électronique associée, et, seulement si la connexion ne suffit pas à vous authentifier, un justificatif proportionné avec mentions occultées. Si vous agissez pour un enfant mineur, rappelez que le consentement aux services de la société de l’information fait l’objet de règles spécifiques et que l’effacement des données collectées dans ce cadre constitue un motif autonome prévu par le texte.

Conservez méthodiquement toutes les preuves dès l’envoi : copie du message ou du courrier, accusé de réception, captures d’écran du paramétrage et de la demande, numéro de ticket, échanges ultérieurs, messages commerciaux reçus après la clôture, et constats de la persistance du profil en ligne. Ces pièces serviront devant la Commission puis devant le juge. Le délai de réponse court à compter de la réception : le responsable doit vous informer des mesures prises dans les meilleurs délais et en tout état de cause dans un délai d’un mois. Ce délai peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes, mais l’exploitant doit alors vous informer de la prolongation et de ses motifs dans le délai initial d’un mois. Passé un mois sans réponse ni information de prolongation, le silence vaut échec de la démarche amiable et ouvre la phase contentieuse.

Si la plateforme refuse, elle doit le faire par écrit et de façon motivée : le texte lui impose d’en exposer les motifs sans tarder, et au plus tard dans un délai d’un mois, tout en rappelant la possibilité de saisir l’autorité de contrôle et de former un recours devant le juge. Un refus générique, non motivé ou fondé sur des conditions générales qui contrediraient le règlement ne satisfait pas à cette exigence. Conservez ce refus : il constitue la pièce centrale de votre réclamation et de votre action en justice, car il établit à la fois la violation et la connaissance qu’en avait l’exploitant.

II. En cas de refus ou de silence, la Commission et le juge imposent l’effacement et indemnisent

A. La réclamation devant la Commission et le recours devant le juge national

La voie administrative commence devant la Commission nationale de l’informatique et des libertés. L’autorité explique sur sa page dédiée au droit à l’effacement que le responsable doit procéder à l’effacement dans les meilleurs délais et au plus tard sous un mois, et qu’en cas de réponse insatisfaisante ou d’absence de réponse dans ce délai, la Commission peut être saisie. Le texte européen conforte cette démarche : toute personne qui estime qu’un traitement de ses données viole le règlement peut porter réclamation devant l’autorité de contrôle, notamment celle de sa résidence habituelle, de son lieu de travail ou du lieu de la violation. Résidant en France, vous pouvez donc saisir la Commission française même lorsque la plateforme est établie dans un autre État membre, grâce au mécanisme de coopération entre autorités européennes.

La réclamation s’effectue en ligne et doit joindre l’ensemble du dossier : demande initiale, preuve de réception, relances, refus éventuel, captures établissant la conservation, messages commerciaux postérieurs. L’autorité instruit, peut mettre l’exploitant en demeure de se conformer, prononcer une injonction de suppression sous astreinte et infliger une amende administrative. Les sanctions prononcées contre des opérateurs numériques pour des manquements liés à la minimisation et à la conservation, comme cette amende de 175 000 euros confirmée par le Conseil d’État, montrent que ce contentieux est pris au sérieux. Le Conseil d’État contrôle ces sanctions : il a par exemple jugé, le 27 mars 2020, sur le recours d’un exploitant de moteur de recherche contre une sanction de la Commission, précisant la portée territoriale des mesures d’effacement dans une décision de référence, et il a statué à plusieurs reprises sur l’articulation entre le droit au déréférencement et la liberté d’information, notamment dans ses décisions du 6 décembre 2019 rendues après les arrêts de la Cour de justice du 24 septembre 2019 sur la portée du déréférencement. Le juge administratif contrôle ces refus de façon concrète : saisi du refus de la Commission de mettre en demeure un exploitant, il apprécie la légalité du refus au regard des règles et des circonstances à la date de sa décision, et l’effet utile de l’annulation réside dans l’obligation, qu’il peut prescrire d’office, pour la Commission de procéder à la mise en demeure. Le même jour du 6 décembre 2019, la Haute juridiction a ainsi annulé le refus de la Commission pour un lien resté référençable alors que l’intéressé n’exerçait plus d’activité en rapport avec les contenus, dans une décision d’annulation partielle, tandis que dans une autre affaire du même jour elle a rejeté la contestation du refus, comme le montre cette autre décision. Tout est donc affaire de circonstances et de preuves, jamais de résultat acquis. Si la Commission ne traite pas votre réclamation ou ne vous informe pas de son état d’avancement dans un délai de trois mois, vous disposez d’un recours juridictionnel effectif contre l’autorité elle-même.

La voie judiciaire directe est ouverte parallèlement, sans obligation d’attendre l’issue de la procédure administrative. Le règlement ouvre à chaque personne concernée un recours juridictionnel effectif dès qu’elle estime que ses droits ont été violés par un traitement non conforme. L’action peut être portée devant les juridictions de l’État membre dans lequel l’exploitant dispose d’un établissement, mais aussi devant celles de votre résidence habituelle : si vous résidez à Paris ou en Île-de-France, vous pouvez saisir le tribunal judiciaire de votre domicile, ce qui évite d’avoir à plaider à l’étranger contre une société établie hors de France. Cette option de proximité, prévue au paragraphe 2 de l’article 79, est déterminante pour les litiges contre les plateformes internationales.

En pratique, le juge des référés constitue la voie la plus rapide lorsque la violation est manifeste et que chaque jour de conservation aggrave le préjudice : profil toujours accessible, diffusion continue de photographies, prospection incessante, risque d’usurpation à partir des données conservées. Le juge peut ordonner la suppression du compte et des données sous astreinte, enjoindre l’information des tiers destinataires et ordonner la cessation de la prospection. L’assignation doit exposer précisément les motifs d’effacement invoqués, le périmètre demandé et l’urgence, avec les pièces conservées depuis la demande initiale. Les ordonnances récentes rendues à Paris dans des litiges opposant des particuliers à des exploitants de grands réseaux sociaux montrent que le juge des référés n’hésite pas à trancher vite ces différends techniques, y compris en ordonnant des mesures d’identification ou de communication lorsque la situation l’exige. La demande au fond reste disponible pour obtenir une décision définitive et une indemnisation complète lorsque le préjudice nécessite une instruction approfondie.

B. La réparation du préjudice et la stratégie probatoire qui la conditionne

Toute violation du règlement ouvrant droit à réparation, l’article 82 ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation le droit d’en obtenir réparation auprès du responsable du traitement ou du sous-traitant. Le préjudice moral est donc expressément indemnisable : anxiété liée à l’exposition prolongée de données personnelles, sentiment de perte de contrôle, temps consacré aux démarches, nécessité de surveiller ses comptes, messages commerciaux subis, atteinte à la vie privée lorsque des contenus intimes ou familiaux sont restés accessibles. Le préjudice matériel s’ajoute le cas échéant : abonnement prélevé après la clôture, frais d’opposition ou de surveillance, perte d’opportunités professionnelles lorsque le profil conservé renvoie une image erronée.

Le régime de responsabilité est favorable à la personne concernée. Tout responsable ayant participé au traitement est responsable du dommage causé par le traitement constitutif de la violation, et l’exploitant ne s’exonère qu’en prouvant que le fait à l’origine du dommage ne lui est nullement imputable. En pratique, une plateforme qui a ignoré une demande d’effacement complète et motivée peine à rapporter cette preuve. Lorsque plusieurs acteurs participent au même traitement, par exemple la plateforme et son prestataire d’hébergement ou sa régie publicitaire, chacun est tenu pour le tout envers la personne concernée, afin de garantir une réparation effective, avec répartition entre eux dans un second temps. Cette solidarité facilite l’action : vous pouvez diriger votre demande contre l’interlocuteur solvable et identifié, sans avoir à démêler seul la chaîne de sous-traitance.

La réparation suppose toutefois un préjudice démontré, et c’est là que la stratégie probatoire joue un rôle décisif. Conservez les attestations de votre entourage sur votre inquiétude, les certificats médicaux si l’anxiété a nécessité une consultation, le décompte du temps passé, les relevés des prélèvements indus, les copies des messages commerciaux reçus après la demande, les constats d’huissier ou captures horodatées établissant la persistance du profil, et toute pièce montrant une utilisation de vos données à votre insu. Le juge évalue souverainement le montant en fonction de la gravité, de la durée et du comportement de l’exploitant : un refus obstiné après mise en demeure pèse plus lourd qu’une simple lenteur d’exécution, et une violation touchant des données sensibles ou des mineurs justifie une indemnisation plus élevée. La sanction administrative prononcée par la Commission, si elle existe, ne vous indemnise pas directement mais constitue un élément de fait que le juge civil peut prendre en compte pour caractériser la faute.

Distinguez enfin les trois plans : l’injonction fait cesser la violation pour l’avenir, l’amende administrative punit le manquement au nom de l’intérêt général, et les dommages et intérêts réparent votre préjudice personnel. Ces trois conséquences se cumulent et relèvent d’autorités différentes. Une mise en demeure de la Commission n’épuise pas votre droit à réparation, et une transaction qui se limiterait à la suppression technique sans indemnisation vous priverait du volet indemnitaire. Ne signez aucun protocole de clôture qui comporterait une renonciation générale sans contrepartie proportionnée au préjudice subi, et vérifiez avant tout accord que la suppression promise a été techniquement vérifiée : tentative de reconnexion impossible, profil introuvable dans les moteurs de recherche après actualisation des caches, arrêt effectif de la prospection, confirmation écrite du périmètre effacé et de l’information des destinataires.

Conclusion

Une plateforme qui refuse de supprimer votre compte ou qui le conserve en catimini après une clôture de façade viole plusieurs obligations à la fois : le droit à l’effacement, les délais de réponse, les principes de minimisation et de limitation de la conservation, et, lorsque la prospection se poursuit, l’interdiction de traiter vos données à cette fin après opposition. La méthode qui conduit au résultat tient en quatre temps : une demande écrite complète visant l’article 17, les articles 12, 19 et 21, adressée au véritable responsable du traitement avec un périmètre précis ; un délai d’un mois rigoureusement décompté à partir de la réception ; en cas de refus ou de silence, une réclamation étayée devant la Commission, qui peut enjoindre et sanctionner ; et, en parallèle ou ensuite, une action devant le tribunal de votre domicile pour obtenir l’injonction de suppression sous astreinte et la réparation de votre préjudice moral et matériel. Les décisions du Conseil d’État sur la conservation des données et les sanctions confirment que les juges appliquent ces textes avec exigence. Conservez chaque preuve dès la demande initiale : c’est ce dossier, plus que les affirmations générales, qui emporte l’effacement et l’indemnisation.