Supprimer son compte sur une plateforme d’annonces entre particuliers ressemble à une formalité : quelques clics dans les paramètres, une confirmation, et le profil disparaît. Pourtant, cette disparition visible ne dit rien de ce que deviennent les données. Les annonces publiées, les messages échangés avec acheteurs et vendeurs, la copie d’une pièce d’identité transmise pour vérifier un compte, les coordonnées bancaires utilisées pour payer une option de mise en avant : une partie de ces informations reste conservée après la fermeture du compte, parfois pendant plusieurs années, sur le fondement d’obligations légales ou d’intérêts que la plateforme invoque. Comprendre ce qui s’efface vraiment, ce qui demeure et pour quelles raisons, puis savoir contester une conservation jugée excessive, suppose de combiner la lecture de la politique de confidentialité de la plateforme et les droits que le règlement général sur la protection des données reconnaît à chacun.
La question n’est pas théorique. La formulation « supprimer compte leboncoin » est saisie environ 1 300 fois par mois en France, avec un niveau stable sur les douze derniers mois, ce qui en fait l’une des démarches les plus demandées autour des comptes en ligne. Les vendeurs, occasionnels ou professionnels, s’inquiètent de voir leurs annonces, leurs évaluations et leurs conversations survivre à leur départ ; les acheteurs découvrent que leurs messages et leurs coordonnées restent accessibles à leurs anciens interlocuteurs ; les utilisateurs dont le compte a été suspendu pour fraude présumée cherchent à récupérer leurs données avant de disparaître. Cet article décrit la procédure de suppression du compte, distingue ce qui est effacé de ce qui est conservé avec les durées et les fondements applicables, puis expose les recours : accès et portabilité préalables, opposition à la prospection, contestation des décisions automatisées antifraude, plainte devant la CNIL et action en réparation devant le juge.
I. Supprimer son compte : ce qui s’efface et ce qui demeure
A. Le droit à l’effacement appliqué à la fermeture du compte
Le règlement général sur la protection des données pose le principe de façon directe : toute personne concernée peut obtenir l’effacement de ses données dans les meilleurs délais dès lors que l’un des motifs prévus est rempli, et le responsable du traitement est alors tenu d’y procéder. Le premier motif visé correspond exactement à la situation d’un utilisateur qui quitte une plateforme : les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées. Dès lors que le compte est fermé et que la relation contractuelle prend fin, les données qui ne servaient qu’à faire fonctionner ce compte — profil, annonces en cours, préférences, historique de navigation interne — n’ont plus de finalité et doivent être effacées. C’est ce qu’exprime l’article 17, paragraphe 1, du règlement (UE) 2016/679.
La plateforme a organisé cette démarche dans ses paramètres. Sa politique de confidentialité prévoit la suppression du compte et de l’ensemble des données personnelles associées depuis la rubrique Paramètres, puis Confidentialité, via la commande Supprimer mon compte. La suppression du compte emporte donc, en principe, celle des données associées. En pratique, il est recommandé de formuler la demande par écrit, depuis l’adresse électronique liée au compte, en précisant qu’elle porte à la fois sur la fermeture du compte et sur l’effacement des données, et d’en conserver une copie : capture d’écran, courriel conservé, accusé de réception. La CNIL insiste sur cette précaution, qu’elle présente comme primordiale pour une saisine ultérieure en cas de réponse insatisfaisante ou d’absence de réponse (le droit à l’effacement, CNIL).
Le délai de réponse est encadré. Le règlement prévoit que le responsable du traitement informe la personne concernée des suites données à sa demande dans les meilleurs délais et, en tout état de cause, au plus tard un mois après réception, ce délai pouvant être prolongé de deux mois compte tenu de la complexité et du nombre de demandes, à charge pour le responsable d’en informer la personne concernée. La CNIL reprend cette règle en termes simples : le responsable doit procéder à l’effacement dans les meilleurs délais et au plus tard sous un mois, délai qui peut être porté à trois mois compte tenu de la complexité de la demande (le droit à l’effacement, CNIL). Passé ce délai sans réponse ou sans effacement effectif, l’utilisateur peut saisir la CNIL.
Deux précisions complètent ce tableau. D’abord, la plateforme peut vérifier l’identité du demandeur avant d’agir, mais uniquement dans certaines limites. La CNIL l’indique : l’organisme ne peut demander un justificatif d’identité qu’en cas de doute raisonnable sur l’identité du demandeur, sans pouvoir exiger des pièces abusives, non pertinentes ou disproportionnées au regard de la demande. Une copie de pièce d’identité peut donc être demandée pour éviter une suppression frauduleuse du compte d’autrui, mais exiger des justificatifs sans rapport avec la demande serait excessif. Ensuite, l’effacement demandé vise les données détenues par la plateforme elle-même : il ne fait pas disparaître les messages déjà reçus et conservés par d’autres utilisateurs dans leur propre messagerie, ni les copies que des interlocuteurs auraient enregistrées de leur côté. La demande doit donc être comprise pour ce qu’elle est : elle éteint le traitement opéré par la plateforme, pas la mémoire des correspondants.
Les utilisateurs qui ont ouvert un compte sans jamais l’utiliser bénéficient du même droit. La politique de la plateforme prévoit d’ailleurs un sort particulier pour les comptes inactifs : après plus de trois ans sans connexion ni interaction avec ses communications, un compte peut être désactivé puis totalement supprimé. L’inactivité prolongée peut donc conduire à une suppression automatique, mais attendre trois ans sans rien faire n’est pas une stratégie : mieux vaut demander la fermeture et l’effacement, ce qui fait courir le délai d’un mois et laisse une trace de la démarche. Cette logique de conservation limitée des comptes inactifs rejoint l’approche générale du droit des données des clients, décrite dans l’analyse consacrée aux comptes fermés dont les données sont conservées et à la prospection qui continue.
B. Ce que la plateforme conserve après la fermeture, durées et fondements
La fermeture du compte n’entraîne pas la disparition de toutes les données, et c’est là que les déceptions naissent. La CNIL prévient : demander la suppression de son compte ne fait pas disparaître les factures et autres documents comptables liés à ses achats, couverts par une obligation légale de conservation (le droit à l’effacement, CNIL). Trois familles de conservations résiduelles doivent être distinguées, chacune avec sa durée et son fondement.
La première famille relève des obligations légales. La politique de la plateforme l’énonce : tenue à des obligations légales de conservation, elle archive les documents et pièces comptables des utilisateurs professionnels pendant dix ans à compter de leur émission, à des fins probatoires. Cette durée de dix ans correspond à l’article L. 123-22 du code de commerce, qui dispose que « Les documents comptables et les pièces justificatives sont conservés pendant dix ans » (article L. 123-22 sur Légifrance). Elle concerne les vendeurs professionnels qui ont facturé des options payantes ou encaissé des transactions via la plateforme : leurs factures et pièces comptables restent archivées dix ans, et aucune demande d’effacement ne peut y faire obstacle, puisque le règlement lui-même écarte le droit à l’effacement quand le traitement reste nécessaire pour respecter une obligation légale. Pour les particuliers qui ont simplement payé une option de visibilité, les justificatifs de paiement suivent le même régime comptable. La CNIL résume cette limite : le droit à l’effacement ne doit pas aller à l’encontre du respect d’une obligation légale, comme la conservation des factures pendant dix ans.
La deuxième famille tient aux réquisitions des autorités. La politique de la plateforme précise qu’elle conserve certaines données dans une base spécifique aux accès très restreints afin de répondre aux réquisitions des autorités compétentes : les données d’identité fournies à la création du compte y sont ainsi gardées cinq ans à compter de sa suppression. Concrètement, les données d’identification fournies à l’ouverture du compte restent donc archivées cinq ans après sa fermeture, dans une base aux accès restreints, afin de pouvoir répondre aux demandes des autorités judiciaires ou administratives. Cette conservation à des fins de défense en justice et de réponse aux réquisitions correspond à l’exception prévue par le règlement pour constater, exercer ou défendre des droits en justice. Elle doit rester proportionnée : archivage séparé, accès limités, durée définie. Les utilisateurs doivent savoir que cette conservation existe, mais aussi qu’elle ne permet pas à la plateforme de réutiliser ces données à des fins commerciales.
La troisième famille regroupe les conservations à des fins probatoires et de sécurité. Le délai de prescription de droit commun de cinq ans, posé par l’article 2224 du code civil — « Les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer » (article 2224 sur Légifrance) — justifie un archivage intermédiaire des données nécessaires à la preuve d’un contrat, d’un paiement ou d’un litige, là encore dans une base distincte de la base active. S’y ajoutent les traitements de lutte contre la fraude : la plateforme indique traiter les données de manière automatisée pour lutter contre la fraude, ce qui peut entraîner un blocage automatique de messages, et applique un dispositif de restriction d’accès fondé sur des critères définis et limités, pour une durée limitée. Les identifiants liés à une fraude avérée peuvent ainsi être conservés sur une liste interne le temps nécessaire à la prévention de nouveaux abus, à condition que cette durée reste limitée et documentée.
Reste la question des destinataires : à qui les données ont-elles déjà été transmises avant la suppression ? La plateforme partage certaines données avec d’autres utilisateurs — pseudo visible, contenu des messages, adresse postale communiquée par un vendeur pour la livraison — ainsi qu’avec les vendeurs professionnels démarchés, qui reçoivent les coordonnées et le contenu des demandes, avec ses prestataires techniques dont son hébergeur, et avec les autorités lorsque la loi l’exige. Or le règlement prévoit que, lorsque le responsable du traitement a rendu publiques des données qu’il est tenu d’effacer, il prend des mesures raisonnables, y compris d’ordre technique, pour informer les autres responsables qui traitent ces données de la demande d’effacement. En pratique, l’utilisateur qui ferme son compte peut donc aussi demander à la plateforme d’informer les destinataires auxquels ses données ont été communiquées, notamment les professionnels démarchés via la plateforme. Si l’utilisateur est lui-même un vendeur professionnel ayant reçu des données d’acheteurs, il devient responsable de traitement pour ces données et doit donner suite aux demandes d’effacement qu’il reçoit : la plateforme rappelle qu’il faut alors s’adresser directement à ce professionnel pour exercer ses droits auprès de lui.
II. Contester, récupérer et obtenir réparation
A. Les droits à exercer avant et après la suppression
La suppression du compte ne doit pas être demandée les yeux fermés. Trois droits préparatoires méritent d’être exercés avant de cliquer sur le bouton de fermeture, car après l’effacement il sera trop tard pour récupérer ce qui a disparu.
Le premier est le droit d’accès. Le règlement reconnaît à toute personne le droit d’obtenir confirmation qu’un traitement de ses données existe ou non et, dans l’affirmative, d’y accéder, ainsi qu’une série d’informations parmi lesquelles la durée de conservation envisagée ou, à défaut, les critères permettant de la déterminer, et les destinataires auxquels les données ont été ou seront communiquées (article 15 du règlement (UE) 2016/679). Concrètement, une demande d’accès permet de savoir exactement ce que la plateforme détient : annonces, messages, données de connexion, pièces justificatives, enregistrements de paiement. La plateforme a mis en place un outil dédié : depuis les paramètres du compte, rubrique Paramètres puis Confidentialité, la commande Récupérer mes données personnelles génère une archive téléchargeable, notifiée à l’utilisateur une fois disponible. Pour un vendeur, cette archive contient la preuve de son activité : annonces publiées, conversations avec les acheteurs, évaluations reçues. La récupérer avant suppression, c’est se ménager une preuve en cas de litige ultérieur avec un acheteur ou avec l’administration fiscale.
Le deuxième est le droit à la portabilité. Les personnes concernées peuvent recevoir les données qu’elles ont elles-mêmes fournies dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre responsable lorsque le traitement repose sur le consentement ou sur un contrat et s’effectue de manière automatisée (article 20 du règlement (UE) 2016/679). Pour un vendeur professionnel qui migre vers une autre plateforme ou ouvre sa propre boutique en ligne, ce droit permet de récupérer son catalogue d’annonces et ses contenus. La portabilité ne couvre toutefois que les données fournies par la personne elle-même, pas celles créées par la plateforme comme les scores internes ou les évaluations calculées.
Le troisième est le droit d’opposition à la prospection. Lorsque des données sont traitées à des fins de prospection, chacun peut s’y opposer à tout moment, y compris au profilage lié à cette prospection, et dès l’opposition formulée les données ne sont plus traitées à ces fins (article 21 du règlement (UE) 2016/679). Contrairement à l’opposition fondée sur la situation particulière, qui suppose une mise en balance avec les motifs légitimes du responsable, l’opposition à la prospection est absolue : dès qu’elle est formulée, la prospection doit cesser. Les anciens utilisateurs qui continuent de recevoir des courriels commerciaux après la fermeture de leur compte disposent donc d’un levier simple et sans discussion possible.
Un quatrième droit concerne les utilisateurs sanctionnés par les dispositifs antifraude. Ceux dont les messages ont été bloqués ou dont le compte a été restreint sur le fondement d’un traitement automatisé peuvent contester la décision. Le règlement garantit à chacun, au minimum, le droit d’obtenir une intervention humaine, d’exprimer son point de vue et de contester la décision (article 22 du règlement (UE) 2016/679). La politique de la plateforme reconnaît ce droit et invite l’utilisateur qui conteste une décision automatisée le visant à contacter le service Relations Clients via le formulaire de contact du site, ou directement le délégué à la protection des données. Un vendeur dont le compte a été suspendu automatiquement pour suspicion de fraude a donc le droit d’exiger un réexamen humain, de présenter ses explications et ses justificatifs, et d’obtenir une décision motivée. Si la suspension était injustifiée et a causé une perte d’activité, cette étape du réexamen humain constitue aussi le point de départ d’une demande de réparation.
Enfin, le droit à la limitation du traitement offre une solution d’attente : lorsque l’exactitude des données est contestée, leur traitement peut être gelé le temps des vérifications. La plateforme le prévoit : en cas de contestation de l’exactitude de certaines informations, leur traitement est limité le temps des vérifications nécessaires. C’est utile, par exemple, quand une évaluation ou une mention erronée figure sur un profil de vendeur en cours de correction.
B. Plainte devant la CNIL, sanctions et réparation devant le juge
Lorsque la plateforme refuse l’effacement, ne répond pas dans le délai d’un mois ou conserve des données sans fondement identifiable, la voie de la plainte devant la CNIL s’ouvre. Le règlement dispose que toute personne qui estime qu’un traitement de ses données en viole les règles peut adresser une réclamation à l’autorité de contrôle, notamment celle de sa résidence habituelle, de son lieu de travail ou du lieu de la violation (article 77 du règlement (UE) 2016/679). La CNIL le confirme dans son parcours usager : faute de réponse satisfaisante sous un mois, la saisine de l’autorité reste possible (le droit à l’effacement, CNIL). Avant de saisir l’autorité, il faut d’abord avoir exercé ses droits auprès de la plateforme — de préférence auprès de son délégué à la protection des données dont les coordonnées figurent dans la politique de confidentialité — et conserver la preuve de ces démarches et du délai écoulé. La plainte se dépose en ligne sur le site de la CNIL, en joignant copies des demandes, des réponses éventuelles et des captures d’écran.
La CNIL dispose d’un pouvoir de sanction qui donne à ces plaintes une portée réelle, comme le montrent deux décisions récentes confirmées par le Conseil d’État. Dans l’affaire Ubeeqo, la formation restreinte avait prononcé une amende de 175 000 euros pour manquement aux principes de minimisation et de limitation de la conservation, notamment parce que la société conservait des données de géolocalisation pendant trois ans après la fin de la relation commerciale. Le Conseil d’État a jugé que « la formation restreinte de la CNIL a pu légalement estimer que la société Ubeeqo conservait les données de géolocalisation pour une durée excessive au regard des finalités poursuivies » et a rejeté le recours : « La requête de la société Ubeeqo International est rejetée » (CE, 6 décembre 2023, n° 467368). Dans l’affaire Sergic, une société immobilière avait été sanctionnée de 400 000 euros, avec publication de la décision pendant deux ans, pour un défaut de sécurité ayant exposé plusieurs centaines de milliers de documents de candidats à la location et « une conservation de ces données pendant une durée excessive au regard de la finalité poursuivie par leur traitement ». Le Conseil d’État a confirmé la proportionnalité de la sanction au regard de « la nature et à la gravité des manquements constatés » et conclu : « Sa requête doit être rejetée » (CE, 4 novembre 2020, n° 433311). Ces deux arrêts établissent un enseignement directement transposable : conserver des données de clients ou d’utilisateurs au-delà de la durée nécessaire, y compris après la fin de la relation, expose à une sanction pécuniaire publique, même pour des montants que l’entreprise estimerait modestes.
Parallèlement à la plainte, l’utilisateur peut agir devant le juge pour obtenir réparation. Le règlement prévoit que quiconque subit un dommage matériel ou moral du fait d’une violation de ses règles peut en obtenir réparation auprès du responsable du traitement ou du sous-traitant (article 82 du règlement (UE) 2016/679). Le préjudice peut être matériel — perte de revenus d’un vendeur dont le compte a été supprimé à tort ou dont les données ont été conservées et réutilisées — ou moral — anxiété liée à l’exposition prolongée de données personnelles, démarches répétées restées sans réponse, sentiment de perte de contrôle. Le juge judiciaire est compétent pour ordonner l’effacement sous astreinte et allouer des dommages et intérêts. Ce pouvoir s’appuie sur le droit commun : « Chacun a droit au respect de sa vie privée », et les juges peuvent prescrire toutes mesures propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée (article 9 du code civil, texte sur Légifrance), tandis que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (article 1240 du code civil, texte sur Légifrance). En cas d’urgence, le juge des référés peut être saisi : « Dans tous les cas d’urgence, le président du tribunal judiciaire ou le juge des contentieux de la protection dans les limites de sa compétence, peuvent ordonner en référé toutes les mesures qui ne se heurtent à aucune contestation sérieuse ou que justifie l’existence d’un différend » (article 834 du code de procédure civile, texte sur Légifrance), par exemple pour faire cesser la diffusion continue d’une annonce contenant des données personnelles après une demande d’effacement restée lettre morte. La prescription de cinq ans de l’article 2224 du code civil s’applique à l’action en réparation, ce qui laisse un délai raisonnable sans inviter à l’attentisme : les preuves — copies des demandes, réponses, captures d’écran datées, archive récupérée avant suppression — se conservent dès le départ.
Le droit à l’effacement connaît cependant des limites que l’utilisateur doit intégrer avant d’agir, sous peine de démarches vouées à l’échec. Outre les obligations légales de conservation déjà décrites, le règlement écarte l’effacement quand le traitement reste nécessaire pour exercer la liberté d’expression et d’information ou pour constater, exercer ou défendre des droits en justice. La Cour de cassation vient d’en donner une illustration nette : saisie d’une demande d’anonymisation d’un article de presse en ligne rendant compte d’une ancienne condamnation pénale, elle a approuvé la cour d’appel qui, « Ayant fait ressortir que le droit à l’information devait en l’espèce prévaloir sur le droit à la protection de la vie privée » après mise en balance des intérêts en présence, avait « légalement justifié sa décision de rejeter la demande d’anonymisation », puis « REJETTE le pourvoi », en condamnant le demandeur aux dépens et à payer 3 000 euros sur le fondement de l’article 700 du code de procédure civile, dont le juge « condamne la partie tenue aux dépens ou qui perd son procès à payer […] la somme qu’il détermine, au titre des frais exposés et non compris dans les dépens » (texte sur Légifrance, Cass. 1re civ., 3 juin 2026, n° 25-14.228). Transposé à une plateforme d’annonces, cet équilibre signifie qu’un vendeur professionnel ne peut pas exiger l’effacement d’avis ou d’informations dont la conservation répond à l’information légitime des consommateurs ou à la défense en justice, et qu’un utilisateur ne peut pas faire supprimer chez ses anciens correspondants les messages nécessaires à la preuve d’une transaction litigieuse. Chaque demande doit donc distinguer les données devenues objectivement inutiles, pour lesquelles l’effacement s’impose, de celles dont la conservation reste justifiée, pour lesquelles seule une limitation d’accès ou un archivage restreint peut être exigé.
Conclusion
Supprimer son compte Leboncoin efface le profil et les données devenues inutiles, mais laisse subsister trois blocs de conservation : les documents comptables des professionnels pendant dix ans, les données d’identification archivées cinq ans pour répondre aux réquisitions des autorités, et les données nécessaires à la preuve ou à la sécurité pendant des durées limitées. La démarche efficace suit un ordre précis : récupérer son archive et exercer son droit d’accès avant de fermer, demander la fermeture et l’effacement par écrit en visant expressément les deux, s’opposer à toute prospection ultérieure, puis, en cas de refus ou de silence prolongé au-delà d’un mois, saisir le délégué à la protection des données puis la CNIL, et porter devant le juge la demande d’effacement sous astreinte et la réparation du préjudice. Les sanctions confirmées par le Conseil d’État contre des sociétés ayant conservé trop longtemps les données de leurs utilisateurs montrent que ces droits sont effectifs. À l’inverse, les limites tenant aux obligations légales, à la défense en justice et à la liberté d’information, rappelées par la Cour de cassation, imposent de formuler des demandes précises et fondées plutôt qu’une exigence globale et indifférenciée.