Des années de messages publiés, de messages privés échangés, de photos, de géolocalisations et de listes d’abonnements : un compte X (ex-Twitter) ancien concentre une quantité considérable de données personnelles, dont une partie reste visible publiquement même après des années d’inactivité. Quand vient le moment de partir, la question n’est pas seulement de fermer le compte, mais de savoir ce que la plateforme conserve, ce qu’elle efface vraiment et ce que l’utilisateur peut exiger avant et après la fermeture. Le droit européen donne ici des leviers précis : accès, portabilité, effacement, opposition, réclamation et réparation, chacun avec ses conditions et ses délais.
Cet article décrit, textes et décisions en main, comment récupérer ses données X avant de supprimer son compte en 2026, comment fonctionne la période de désactivation de trente jours prévue par la plateforme, ce qui subsiste après la suppression, puis comment contester un refus ou une conservation abusive devant la Commission nationale de l’informatique et des libertés et devant le juge. Le droit exposé est le droit français et européen en vigueur, vérifié article par article dans sa version applicable au 20 octobre 2026 ; le fonctionnement de la plateforme est décrit d’après ses pages d’aide et sa politique de confidentialité consultées le même jour. La même méthode pas à pas s’applique aux autres grandes plateformes, comme le détaille l’article consacré à la suppression d’un compte Google avec récupération des données et contestation d’un refus.
I. Récupérer ses données puis supprimer le compte : l’ordre qui protège
A. Obtenir la copie de ses données et leur portabilité avant de partir
Avant toute désactivation, la première démarche consiste à demander la copie de ses données. L’article 15 du règlement européen ouvre à toute personne le droit d’obtenir du responsable du traitement la confirmation que des données la concernant sont ou non traitées, l’accès à ces données et une série d’informations : finalités, catégories de données, destinataires, durée de conservation envisagée, droits de rectification, d’effacement et d’opposition, et droit de réclamation (article 15 du règlement, présentation de la CNIL). Concrètement, X met à disposition un espace de données personnelles et une procédure d’archive : depuis les paramètres, la rubrique des données permet de demander une copie, et la plateforme annonce l’envoi d’un fichier compressé contenant l’historique depuis le premier message publié, après vérification d’identité, sous quelques jours (page d’aide de X sur le téléchargement de l’archive). Il faut vérifier que l’adresse électronique associée au compte est confirmée et rester connecté sur le même navigateur pendant l’opération, faute de quoi la demande échoue.
Le droit français renforce cet accès d’une garantie procédurale : le droit d’accès de la personne concernée « s’exerce dans les conditions prévues à l’article 15 » du règlement, et « En cas de risque de dissimulation ou de disparition des données à caractère personnel, le juge compétent peut ordonner, y compris en référé, toutes mesures de nature à éviter cette dissimulation ou cette disparition » (article 49 de la loi du 6 janvier 1978, dans sa version en vigueur depuis le 31 juillet 2021). Quand une plateforme laisse entendre que les données demandées n’existent plus ou s’apprête à les purger, cette disposition permet de saisir le juge en référé pour faire ordonner leur conservation et leur communication avant qu’elles ne disparaissent. Dans le même esprit, le droit à l’information s’exerce dans les conditions des articles 12 à 14 du règlement, avec une exigence particulière pour les mineurs de moins de quinze ans, auxquels les informations doivent être transmises « dans un langage clair et facilement accessible » (article 48 de la loi du 6 janvier 1978, dans sa version en vigueur depuis le 31 juillet 2021).
À côté de l’accès, l’article 20 du règlement ouvre la portabilité : recevoir les données que l’on a fournies dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre responsable de traitement, quand le traitement repose sur le consentement ou sur un contrat et s’effectue de manière automatisée (article 20 du règlement, présentation de la CNIL). La politique de confidentialité de X reprend ces deux droits dans sa rubrique dédiée : l’utilisateur peut consulter, corriger ou modifier les informations fournies via son profil et ses paramètres, demander l’accès à des informations supplémentaires par un formulaire, et la plateforme indique vérifier l’identité avant de donner suite, tout en se réservant de refuser lorsque l’identité ne peut pas être vérifiée (politique de confidentialité de X, rubrique accès, correction et portabilité). Ce point mérite une vigilance particulière : si le compte a été créé avec une adresse électronique perdue ou un numéro de téléphone résilié, la récupération de l’accès doit précéder la demande, car sans vérification d’identité la plateforme rejette la requête.
Le responsable du traitement ne peut pas laisser la demande sans réponse : il doit informer l’intéressé des mesures prises ou, s’il n’y donne pas suite, motiver son refus et indiquer les voies de réclamation ouvertes (articles 12 et 15 à 22 du règlement, présentation de la CNIL). En pratique, cela signifie dater précisément chaque demande et conserver les accusés de réception et les captures des formulaires : c’est la date de réception par la plateforme qui conditionne la suite des recours. Pendant l’instruction de la demande, il est possible de demander que les données ne soient plus utilisées, ce que la Commission présente comme le droit à la limitation du traitement, qui permet de geler l’utilisation des données contestées (fiche de service-public.fr sur les droits sur les données personnelles).
B. Désactiver puis effacer : les trente jours et ce qui subsiste après
La suppression d’un compte X passe par une désactivation préalable de trente jours. La page d’aide officielle l’énonce en ces termes : la désactivation est la première étape vers la suppression définitive, elle dure trente jours, et sans connexion au compte pendant ce délai le compte est supprimé tandis que le pseudonyme cesse d’être associé au compte (page d’aide de X sur la désactivation du compte). Pendant la période, le compte, le pseudonyme public et le profil ne sont plus visibles sur le site ni dans les applications ; toute reconnexion, même accidentelle depuis une application restée connectée, réactive le compte et fait repartir le compteur. Il faut donc déconnecter toutes les sessions et révoquer les accès des applications tierces avant de lancer la désactivation.
Les messages privés suivent un régime distinct qu’il faut connaître : pendant les trente jours de désactivation ils ne sont pas supprimés, et ce n’est qu’à l’issue de la période, quand le compte est effacé, que les messages envoyés le sont également (page d’aide de X sur la désactivation du compte). Surtout, les contenus publics peuvent survivre ailleurs : la politique de confidentialité de X prévient que les contenus publics peuvent exister ailleurs même après leur retrait de la plateforme, car les moteurs de recherche et les tiers conservent leurs propres copies selon leurs propres règles, et elle renvoie à une page dédiée à la visibilité dans les recherches (politique de confidentialité de X, rubrique conservation). La suppression du compte ne vaut donc pas déréférencement automatique : si des messages restent indexés, il faudra adresser des demandes distinctes aux exploitants des moteurs de recherche, en visant les résultats affichés à la saisie du nom et du prénom. Sur ce terrain, la Cour de cassation juge que la juridiction saisie d’une demande de déréférencement doit apprécier concrètement son bien-fondé et mettre en balance les intérêts en présence, sans ordonner de mesure d’injonction générale à effet automatique (Cour de cassation, 1re chambre civile, 14 février 2018, n° 17-10.499, arrêt du 14 février 2018).
Le droit à l’effacement donne à l’utilisateur un fondement pour exiger davantage que la procédure standard. L’article 17 du règlement ouvre à toute personne le droit d’obtenir l’effacement de ses données dans les meilleurs délais quand, notamment, elles ne sont plus nécessaires à leurs finalités, quand le consentement est retiré sans autre fondement juridique, quand la personne s’y oppose sans motif légitime impérieux contraire, ou quand elles ont fait l’objet d’un traitement illicite (article 17 du règlement, présentation de la CNIL). Et quand le responsable a rendu ces données publiques, il doit prendre des mesures raisonnables, y compris d’ordre technique, pour informer les autres responsables qui les traitent de la demande d’effacement des liens, copies et reproductions (article 17, paragraphe 2, présentation de la CNIL). Cette seconde obligation vise précisément la diffusion par interfaces de programmation et intégrations : la politique de X reconnaît mettre les informations publiques à disposition de sites, d’applications et de tiers par ces interfaces, y compris à grande échelle sous licence, tout en précisant que ces tiers ne sont pas affiliés et que leurs offres peuvent ne pas refléter les suppressions effectuées sur X (politique de confidentialité de X, rubrique interfaces et intégrations).
L’effacement connaît toutefois des limites que la Commission rappelle : il ne s’applique pas quand le traitement reste nécessaire à la liberté d’expression et d’information ou au respect d’une obligation légale (article 17, paragraphe 3, présentation de la CNIL). La Commission illustre cette réserve par un exemple parlant : une demande de suppression de compte n’entraîne pas la suppression des factures et documents comptables liés aux achats, pour lesquels une obligation légale de conservation existe (page de la CNIL sur le droit à l’effacement). De même, X déclare conserver certains types d’informations pour se conformer à ses obligations légales, pour des raisons de sécurité et pour la défense de ses droits en cas de réclamation ou de litige (politique de confidentialité de X, rubrique conservation). Et quand les données effacées avaient été transmises à un tiers lui-même responsable de traitement, le droit français impose au responsable initial de prendre des mesures raisonnables, y compris techniques, pour informer ce tiers de la demande d’effacement des liens, copies et reproductions, en particulier pour les données collectées auprès d’un mineur dans le cadre de services en ligne (article 51 de la loi du 6 janvier 1978, dans sa version en vigueur depuis le 1er juin 2019).
II. Quand la suppression échoue : contester le refus et obtenir réparation
A. Saisir la Commission : plainte, instruction et mise en conformité
Quand la plateforme ne répond pas ou refuse l’accès, la portabilité ou l’effacement, la voie de la réclamation s’ouvre. L’article 77 du règlement donne à toute personne le droit d’introduire une réclamation auprès d’une autorité de contrôle, notamment celle de l’État de sa résidence habituelle, si elle estime que le traitement de ses données viole le règlement, et l’autorité saisie l’informe de l’avancement et de l’issue, y compris des recours juridictionnels possibles (article 77 du règlement, présentation de la CNIL). Pour un résident français, cette autorité est la Commission nationale de l’informatique et des libertés, saisie par la plainte en ligne après une demande préalable restée sans suite auprès du responsable du traitement (téléservice de plainte en ligne auprès de la CNIL).
Le calendrier de cette réclamation est encadré des deux côtés. Le droit français ajoute pour l’effacement une règle de calendrier propre : « En cas de non-exécution de l’effacement des données à caractère personnel ou en cas d’absence de réponse du responsable du traitement dans un délai d’un mois à compter de la demande, la personne concernée peut saisir la Commission nationale de l’informatique et des libertés, qui se prononce sur cette demande dans un délai de trois semaines à compter de la date de réception de la réclamation » (article 51, paragraphe II, de la loi du 6 janvier 1978, dans sa version en vigueur depuis le 1er juin 2019). Ce délai de trois semaines court de la réception de la réclamation par la Commission, pas de la demande initiale : d’où l’importance de saisir la Commission avec un dossier complet, daté et pièces à l’appui, plutôt qu’avec un simple signalement.
La plainte doit être précise pour être utile : désigner exactement les données visées, car l’exercice du droit n’entraîne pas la suppression de tout ce que l’organisme détient, comme le souligne la Commission elle-même (page de la CNIL sur le droit à l’effacement). Pour un compte X, cela signifie distinguer le profil public et les messages, les messages privés, les données de localisation, les journaux de connexion et les données inférées à des fins publicitaires : chaque catégorie peut relever d’un fondement et d’une durée de conservation différents, et une demande globale et indifférenciée s’expose à un refus partiellement justifié. En attendant l’issue, le droit à la limitation permet de demander le gel de l’utilisation des données contestées, ce que la loi française exerce « dans les conditions prévues à l’article 18 » du règlement (article 53 de la loi du 6 janvier 1978, dans sa version en vigueur depuis le 1er juin 2019). Les décisions consultées pour préparer cet article ne tranchent pas la question de savoir si la simple désactivation volontaire du compte vaut exercice du droit à la limitation : en cas de doute, mieux vaut formuler la demande de limitation par écrit, séparément de la désactivation.
Avant d’en arriver au juge, deux droits complètent l’arsenal : la rectification, qui « s’exerce dans les conditions prévues à l’article 16 » du règlement et permet de faire corriger un profil, un pseudonyme ou des informations inexactes avant la suppression (article 50 de la loi du 6 janvier 1978, dans sa version en vigueur depuis le 1er juin 2019), et l’opposition, qui « s’exerce dans les conditions prévues à l’article 21 » du règlement, notamment contre la prospection et le ciblage publicitaire fondés sur les données du compte (article 56 de la loi du 6 janvier 1978, dans sa version en vigueur depuis le 1er juin 2019). L’opposition à la prospection n’exige pas de motif particulier et produit ses effets pour l’avenir : elle permet d’obtenir rapidement l’arrêt des sollicitations et du pistage publicitaire, même quand l’effacement complet du compte reste en discussion.
B. Aller au juge : faire ordonner la suppression et chiffrer le préjudice
La réclamation ne prive pas du recours au juge, et le juge peut ordonner la suppression sous astreinte. La cour d’appel de Montpellier l’a illustré le 20 mars 2025 dans un litige où d’anciens salariés demandaient la fermeture de leurs messageries professionnelles maintenues actives plusieurs mois après leur départ : la cour a relevé que le maintien des comptes, sans motif impérieux, contrevenait au principe de finalité combiné aux principes de minimisation et de limitation de la conservation énoncés par l’article 5 du règlement, a qualifié ce maintien de trouble manifestement illicite qu’il convenait de faire cesser, et a condamné la société à rendre inactifs puis supprimer les comptes dans un délai de huit jours à compter de la signification de l’arrêt, sous astreinte provisoire de cinq cents euros par jour de retard pendant six mois (cour d’appel de Montpellier, 2e chambre civile, 20 mars 2025, RG 24/02397, arrêt de la cour d’appel de Montpellier du 20 mars 2025). Le délai de huit jours court ici de la signification de l’arrêt, comme la cour le précise elle-même dans son dispositif. L’enseignement dépasse le cadre salarial : un compte conservé au-delà de sa finalité, malgré des demandes répétées et une plainte à la Commission, expose son responsable à une injonction de suppression assortie d’une astreinte journalière.
Le même raisonnement vaut pour les durées de conservation affichées par les plateformes. Le tribunal judiciaire de Versailles a eu à examiner, le 10 octobre 2024, la politique de conservation des données d’un grand réseau social dans un litige portant sur l’identification de l’éditeur d’un compte et la communication des données d’identification : l’ordonnance de référé discute la licéité des durées et des catégories conservées au regard des principes du règlement (tribunal judiciaire de Versailles, ordonnance de référé du 10 octobre 2024, RG 24/00843, ordonnance de référé du tribunal judiciaire de Versailles du 10 octobre 2024). Pour l’utilisateur d’un compte X, la leçon pratique est double : d’une part conserver la preuve de la politique applicable au jour de la demande, car ces pages évoluent, d’autre part ne pas se contenter de la suppression apparente du profil et exiger par écrit l’effacement des journaux, des données inférées et des copies, en visant chaque catégorie. Quand la plateforme oppose une obligation légale de conservation, il faut lui demander d’en désigner le texte exact : une conservation justifiée par la défense en justice ou la sécurité doit rester proportionnée et limitée dans le temps, comme l’exige le principe de limitation de la conservation.
Enfin, la violation ouvre droit à réparation. L’article 82 du règlement ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation le droit d’en obtenir réparation auprès du responsable du traitement ou du sous-traitant, qui répond du dommage causé par le traitement contraire au règlement sauf à prouver que le fait générateur ne lui est pas imputable (article 82 du règlement, présentation de la CNIL). Le préjudice moral se caractérise par exemple par la perte de contrôle durable sur ses données, l’anxiété liée à l’exposition persistante de messages que l’on croyait effacés, ou le temps consacré à des démarches répétées restées vaines ; le préjudice matériel peut résulter d’une usurpation facilitée par des données maintenues en ligne. Le juge apprécie souverainement ces postes, pièces à l’appui : constats d’huissier établissant la persistance des contenus, échanges avec la plateforme, plainte à la Commission et sa réponse, captures datées. La réclamation et l’action en justice peuvent se combiner : la position de la Commission, même non juridictionnelle, éclaire le juge sur la réalité de la violation, tandis que l’assignation fait courir la pression de l’astreinte.
Conclusion
Supprimer son compte X en 2026 est une opération en trois temps qu’il faut mener dans l’ordre : d’abord récupérer la copie de ses données et, si besoin, leur portabilité, sur le fondement des articles 15 et 20 du règlement, avant toute désactivation ; ensuite laisser courir la période de trente jours prévue par la plateforme sans se reconnecter, en sachant que les messages privés ne s’effacent qu’à son terme et que les contenus publics peuvent survivre chez les tiers et les moteurs de recherche ; enfin, en cas de refus ou de conservation abusive, saisir la Commission en cas de non-exécution ou d’absence de réponse dans le délai d’un mois (article 51 de la loi du 6 janvier 1978), puis le juge pour faire ordonner la suppression sous astreinte et obtenir la réparation du préjudice sur le fondement de l’article 82 du règlement. La cour d’appel de Montpellier a montré en mars 2025 qu’un compte maintenu sans nécessité, malgré des demandes répétées, constitue un trouble manifestement illicite que le juge fait cesser sous astreinte de cinq cents euros par jour. Les décisions consultées ne tranchent pas toutes les questions, notamment l’articulation exacte entre la désactivation volontaire et le gel des utilisations pendant l’instruction d’une demande ; sur ces points, des demandes écrites distinctes, datées et conservées restent la meilleure protection. Menée avec méthode et preuves, la sortie d’un réseau social n’est pas une faveur de la plateforme, mais l’exercice de droits que les textes garantissent et que le juge sanctionne.