Le droit à la limitation du traitement permet de demander qu’un organisme cesse provisoirement d’utiliser certaines données personnelles tout en les conservant. Il ne s’agit donc ni d’une suppression du compte ni d’un effacement automatique. Ce mécanisme répond à des situations précises : une donnée dont l’exactitude est discutée, un traitement que vous estimez illicite, une information devenue inutile pour l’organisme mais nécessaire pour faire valoir un droit, ou une opposition qui doit encore être examinée.
La demande est utile lorsque l’utilisation immédiate des données peut aggraver la situation. Une information contestée peut servir à prendre une nouvelle décision, un fichier conservé peut être modifié avant qu’une procédure ne soit engagée, et une donnée que vous souhaitez garder comme preuve peut disparaître si elle est effacée. La limitation sert alors à stabiliser la situation pendant que l’organisme vérifie les faits ou que vous préparez un recours.
L’article 18 du règlement (UE) 2016/679 (RGPD) fixe les conditions et les effets de ce droit. La version française du règlement consultée dans la décision du tribunal judiciaire d’Arras doit être lue avec les règles de réponse de l’article 12, les droits d’accès, de rectification, d’effacement et d’opposition, ainsi qu’avec les voies de réclamation et de recours. La CNIL présente également le mécanisme dans sa page consacrée au droit à la limitation du traitement.
Cet article explique comment qualifier la situation, rédiger une demande exploitable, conserver les preuves et réagir si la réponse ne gèle pas réellement le traitement. Il ne faut pas confondre l’obligation de protection des données avec un litige contractuel ou avec une contestation de réputation : le droit invoqué doit correspondre au traitement réellement effectué et à l’acteur qui le décide.
I. Dans quelles situations le droit à la limitation du traitement peut-il être demandé ?
A. Les quatre hypothèses prévues par l’article 18 du RGPD
L’article 18, paragraphe 1, commence par une règle précise : « La personne concernée a le droit d’obtenir du responsable du traitement la limitation du traitement lorsque l’un des éléments suivants s’applique » (texte repris par le tribunal judiciaire d’Arras). Le droit vise donc le responsable du traitement, c’est-à-dire l’organisme qui détermine les finalités et les moyens de l’opération. Un prestataire technique n’est pas automatiquement le bon destinataire : il faut vérifier son rôle dans la notice, le contrat ou les informations communiquées.
La première hypothèse concerne l’exactitude. Vous pouvez demander la limitation lorsque « l’exactitude des données à caractère personnel est contestée par la personne concernée » (article 18 cité par le tribunal judiciaire d’Arras), pendant le temps nécessaire à la vérification. Une erreur de date de naissance, d’adresse, de situation professionnelle, de dette ou d’identité peut entrer dans ce cas si l’organisme utilise effectivement cette information. La demande doit identifier la donnée litigieuse, expliquer la contradiction et joindre les éléments qui permettent de comprendre la contestation. Dire seulement qu’un fichier est « faux » sans préciser la ligne concernée rend la vérification plus difficile.
La limitation ne remplace pas le droit de rectification de l’article 16. Ce dernier permet d’obtenir, « dans les meilleurs délais », la correction des données inexactes et le complément des données incomplètes, compte tenu de la finalité du traitement. La disposition de l’article 16 consultable sur EUR-Lex doit être citée avec l’article 18 lorsque la correction est le résultat recherché. Pendant l’examen, la limitation demande que l’organisme ne continue pas à exploiter la donnée contestée comme si elle était définitivement exacte.
La deuxième hypothèse vise le traitement illicite. L’article 18, paragraphe 1, point b), prévoit la limitation lorsque « le traitement est illicite et la personne concernée s’oppose à leur effacement et exige à la place la limitation de leur utilisation » (article 18 cité par le tribunal judiciaire d’Arras). Il faut donc expliquer pourquoi l’utilisation paraît contraire au règlement ou à une règle applicable, puis préciser que vous demandez la conservation contrôlée plutôt que l’effacement. La demande ne doit pas transformer une simple insatisfaction en constat définitif d’illicéité : exposez les faits, la finalité utilisée, la base invoquée par l’organisme et la règle qui semble manquer.
Cette distinction est importante lorsque la donnée doit rester disponible pour établir vos droits. Si vous demandez uniquement l’effacement alors qu’une preuve est nécessaire, l’organisme peut répondre que la conservation est requise pour un contentieux. L’article 17 du RGPD prévoit lui-même des exceptions, notamment lorsque le traitement est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice. Une demande de limitation peut alors être plus cohérente : elle tend à empêcher les usages courants tout en conservant l’information dans le périmètre nécessaire.
La troisième hypothèse concerne les données dont le responsable n’a plus besoin pour sa propre finalité, alors qu’elles restent nécessaires à la personne pour « la constatation, l’exercice ou la défense de droits en justice » (article 18 cité par le tribunal judiciaire d’Arras). Le texte de l’article 18, paragraphe 1, point c), ne transforme pas toute donnée ancienne en preuve indisponible. Il faut décrire le droit à exercer, la procédure envisagée ou le différend identifié, et expliquer pourquoi la conservation de ces éléments est nécessaire. Une capture, un historique ou un enregistrement peut devoir être préservé, mais la demande doit rester proportionnée aux informations concernées.
La quatrième hypothèse intervient après une opposition fondée sur l’article 21, paragraphe 1, du RGPD. Pendant la vérification de la balance entre les motifs légitimes de l’organisme et les intérêts, droits et libertés de la personne, vous pouvez demander la limitation. L’article 21 permet l’opposition pour des raisons tenant à la situation particulière lorsque le traitement repose sur l’article 6, paragraphe 1, points e) ou f), sous réserve des exceptions prévues par ce texte. Le droit à la limitation évite que les données continuent à être utilisées comme si l’opposition avait déjà été rejetée.
Ces quatre cas ne se cumulent pas nécessairement. Une même situation peut toutefois comporter plusieurs fondements : une information inexacte, une demande de rectification et une opposition à un usage secondaire. Présentez chaque motif dans un paragraphe distinct. L’organisme pourra alors répondre sur la donnée, la finalité et la mesure de gel sans mélanger vos demandes.
B. Ce que la limitation change concrètement et ce qu’elle ne change pas
La limitation signifie que les données ne doivent plus être traitées pour les usages ordinaires pendant la période concernée. L’article 18, paragraphe 2, prévoit cependant qu’elles peuvent continuer à être traitées, la conservation restant possible, dans des situations déterminées : consentement de la personne, constatation, exercice ou défense de droits en justice, protection des droits d’une autre personne, ou motif important d’intérêt public de l’Union ou d’un État membre. Le gel n’est donc pas une destruction et ne bloque pas toute utilisation juridiquement autorisée.
Dans la pratique, demandez une confirmation écrite de la portée de la limitation : quelles bases de données sont concernées, quelles fonctions sont désactivées, quels accès internes restent ouverts, quelles transmissions sont suspendues et quelle conservation est maintenue. Une réponse qui annonce simplement « votre compte est fermé » ne permet pas de savoir si les données ont été effacées, archivées ou encore utilisées dans un autre traitement. La limitation doit être rattachée à la finalité et aux catégories de données, pas seulement à un état commercial du compte.
L’organisme doit aussi informer les destinataires auxquels les données ont été communiquées. L’article 19 du RGPD impose de notifier toute limitation effectuée conformément à l’article 18, sauf impossibilité ou efforts disproportionnés, et prévoit que la personne peut demander les informations sur ces destinataires. Cette règle est utile lorsqu’une donnée contestée a été transmise à un assureur, un prestataire, une filiale ou un service de scoring. Demandez quelles transmissions ont été identifiées et comment la limitation a été relayée.
Le responsable doit vous informer avant de lever la limitation. L’article 18, paragraphe 3, impose que la personne ayant obtenu la limitation soit informée avant que celle-ci soit levée. Cette information ne remplace pas la vérification de la donnée ni la réponse à votre demande initiale. Elle permet de réagir avant la reprise d’un usage qui pourrait produire une nouvelle décision ou une nouvelle diffusion.
Le droit à la limitation ne vous donne pas automatiquement le contrôle d’un fichier détenu par tous les acteurs. Si une plateforme transmet les données à un autre responsable pour une finalité propre, chacun doit être identifié et saisi selon son rôle. Un sous-traitant qui agit uniquement sur instructions peut recevoir une copie de la demande pour exécution technique, tandis que le responsable reste l’interlocuteur de l’exercice du droit. Les contrats informatiques et les notices doivent être examinés avant d’attribuer une obligation à un acteur précis.
La Cour de cassation, dans son arrêt du 3 octobre 2024, n° 21-20.979, rappelle qu’une communication de documents contenant des données personnelles constitue un traitement et que le juge doit mettre en balance les intérêts des personnes, la proportionnalité et la minimisation des données. Cette solution concernait une production de pièces dans un procès civil ; elle fournit une méthode utile pour ne transmettre que les éléments nécessaires lorsque vous constituez la preuve d’une demande de limitation.
Il faut également distinguer la conservation d’une donnée de son accessibilité générale. Le gel peut conduire à maintenir l’information dans un espace sécurisé, avec des accès limités, sans la laisser alimenter un profilage, une campagne ou une décision automatisée. Si le traitement concerne un dispositif de crédit, de recrutement ou de sécurité, demandez si la donnée limitée a été retirée des flux de décision et des exports. Ne déduisez pas l’arrêt d’un traitement du seul fait qu’aucun message ne vous a été envoyé.
La CNIL explique que la limitation « gèle » l’utilisation des données et donne des exemples de rectification, d’opposition ou de conservation d’images utiles à une procédure. Cette page est une information pratique de l’autorité ; le droit applicable reste défini par le RGPD, les textes français qui s’y articulent et les décisions rendues dans le dossier concerné.
II. Comment exercer ce droit et agir si l’organisme ne répond pas ?
A. Préparer une demande de limitation précise et prouvable
Commencez par identifier le traitement. Notez le nom de l’organisme, le service utilisé, la date du fait, la catégorie de données, la finalité annoncée et l’acteur qui vous a répondu. Une même société peut être responsable de plusieurs traitements distincts. Une demande ciblée sur « toutes mes données » sans contexte peut provoquer une vérification d’identité ou une demande de précision qui retarde l’examen du motif principal.
Indiquez ensuite le droit invoqué et le cas de l’article 18 correspondant. Écrivez, par exemple, que vous contestez l’exactitude de la donnée identifiée, exposez les raisons et demandez la limitation de son utilisation pendant la vérification prévue par l’article 18, paragraphe 1, point a), du RGPD. Si vous invoquez un traitement illicite, précisez le traitement, la finalité et la raison pour laquelle vous préférez la limitation à l’effacement, conformément au point b). Si vous avez besoin d’une donnée pour un recours, décrivez le droit à préserver et la catégorie d’éléments concernée, conformément au point c).
Joignez seulement les pièces utiles. Un document montrant une adresse exacte peut être pertinent pour une rectification ; un échange avec le service peut prouver la date d’une demande ; une notification peut montrer la finalité annoncée. Masquez les informations de tiers qui ne sont pas nécessaires à la compréhension du litige. Conservez l’original dans un espace sûr et transmettez une copie lisible. N’envoyez pas de mot de passe, de code à usage unique ou de coordonnées bancaires complètes.
Adressez la demande au responsable du traitement ou au point de contact indiqué dans la notice de confidentialité. Lorsque l’organisme a désigné un délégué à la protection des données, la notice peut indiquer le canal à utiliser. Le RGPD impose des communications compréhensibles et aisément accessibles pour l’exercice des droits à l’article 12, paragraphe 1. Gardez la preuve de l’envoi et de la réception : formulaire téléchargé, accusé électronique, capture datée de l’espace personnel ou courrier suivi selon le canal proposé.
Le responsable doit fournir les informations sur les mesures prises dans les meilleurs délais et, au plus tard, dans le délai d’un mois à compter de la réception de la demande (règle rappelée par le tribunal judiciaire d’Arras). Le même paragraphe permet une prolongation de deux mois lorsque la complexité et le nombre des demandes le justifient, mais l’organisme doit vous informer de cette prolongation et de ses motifs dans le délai initial d’un mois. Le point de départ est la réception par le responsable, et non la date à laquelle vous avez commencé à rédiger votre message.
Si l’organisme ne donne pas suite, il doit vous informer sans tarder et au plus tard dans le délai d’un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel (règle rappelée par le tribunal judiciaire d’Arras). Une réponse qui renvoie vers une page générale sans traiter le motif de l’article 18 ne permet pas, à elle seule, de vérifier que la demande a été examinée.
Aucun paiement ne peut être exigé pour les communications et mesures prises au titre des articles 15 à 22, sauf demandes manifestement infondées ou excessives dans les conditions de l’article 12, paragraphe 5. Le responsable doit démontrer le caractère manifestement infondé ou excessif avant de refuser ou de facturer une demande. Une vérification d’identité peut être demandée lorsque le responsable a des doutes raisonnables, conformément à l’article 12, paragraphe 6 ; demandez alors le canal sécurisé et la catégorie d’information nécessaire.
Demandez une réponse qui décrit la mesure de gel, et pas seulement l’issue de la rectification ou de l’opposition. Votre courrier peut comporter quatre questions : la limitation est-elle accordée, quelles données et finalités couvre-t-elle, quels destinataires ont été informés, et à quelle condition l’organisme envisage-t-il de la lever ? Ajoutez la demande d’être informé avant la levée, conformément à l’article 18, paragraphe 3.
La preuve de la réception et du contenu de la demande est déterminante. Archivez le fichier envoyé, les pièces jointes, les en-têtes utiles, la réponse automatique et les échanges ultérieurs. Si le formulaire en ligne modifie votre texte ou refuse une pièce, faites une capture de l’écran et notez le parcours suivi. Une chronologie simple permet de distinguer la demande initiale, une éventuelle demande d’identité, la prolongation annoncée et la réponse au fond.
B. Saisir la CNIL ou le juge lorsque la limitation n’est pas respectée
Vous pouvez introduire une réclamation auprès d’une autorité de contrôle si vous considérez que le traitement de vos données viole le RGPD. L’article 77 reconnaît ce droit notamment dans l’État membre de votre résidence habituelle, de votre lieu de travail ou du lieu où la violation aurait été commise. La CNIL décrit les pièces et le parcours de plainte. Joignez la demande de limitation, sa preuve de réception, la réponse reçue ou l’absence de réponse, et une explication factuelle du traitement qui continuerait selon vous.
La réclamation ne remplace pas une demande de gel immédiat et ne fixe pas, à elle seule, la réparation d’un préjudice. L’autorité peut examiner la conformité, demander des explications ou prendre une décision dans le cadre de ses pouvoirs. Le droit de recours juridictionnel contre l’autorité de contrôle est prévu par l’article 78 lorsque les conditions du texte sont réunies, notamment si la réclamation n’est pas traitée ou si son auteur n’est pas informé de son état d’avancement dans le délai mentionné par cette disposition. La phrase doit être lue avec le texte complet et les règles de compétence applicables.
Vous pouvez également agir contre le responsable du traitement ou le sous-traitant dans les conditions de l’article 79 du RGPD. Ce texte garantit un recours juridictionnel effectif lorsqu’une personne estime que ses droits ont été violés par un traitement contraire au règlement et précise les rattachements possibles de la juridiction. Le texte intégral de l’article 79 sur EUR-Lex doit être confronté à la nature des parties, au lieu de leur établissement et à votre résidence habituelle.
En cas d’urgence, le droit français prévoit des outils de référé. L’article 834 du code de procédure civile, dans sa version en vigueur au 28 octobre 2026, permet au président du tribunal judiciaire d’ordonner, dans les cas d’urgence, les mesures qui ne se heurtent pas à une contestation sérieuse ou que justifie l’existence d’un différend. L’article 835 du même code autorise des mesures conservatoires ou de remise en état pour prévenir un dommage imminent ou faire cesser un trouble manifestement illicite, ainsi que l’exécution d’une obligation lorsque son existence n’est pas sérieusement contestable.
Une ordonnance du tribunal judiciaire d’Arras illustre l’examen concret d’une demande fondée sur l’article 18. Dans sa décision de référé du 28 mai 2026, RG 26/00024, le tribunal a relevé qu’une demande de limitation avait été reçue par la banque et que celle-ci n’avait pas justifié des mesures prises. Il a écrit que « le principe de la demande n’est pas sérieusement contestable », puis a ordonné de justifier des mesures destinées à limiter le traitement aux seuls besoins de l’enquête pénale. La décision a assorti cette injonction d’une astreinte de 100 euros par jour de retard après l’expiration d’un délai de huit jours à compter de la signification de l’ordonnance. Cette mesure et son montant appartiennent à ce dossier : ils ne constituent pas un barème applicable à toutes les demandes.
D’autres ordonnances montrent que le juge vérifie les conditions de la procédure avant de prescrire une mesure. Le tribunal judiciaire de Paris, le 16 janvier 2024, RG 23/58912, a dit n’y avoir lieu à référé sur une demande de déréférencement et a statué sur les dépens et les frais de procédure. À l’inverse, le tribunal judiciaire de Créteil, le 16 juillet 2026, RG 25/01620, a ordonné le retrait et la cessation d’une diffusion de documents dans un délai de deux mois à compter de la signification de sa décision. Ces solutions sont liées aux faits et aux demandes de chaque affaire.
La même décision d’Arras rappelle la nécessité de prouver l’envoi, la réception et le contenu de la demande. Elle distingue l’accès aux données, la limitation de leur utilisation et les demandes liées à une inscription contestée. Cette distinction est transposable comme méthode : préparez une demande séparée pour chaque résultat recherché, identifiez la donnée et la finalité, puis expliquez la mesure urgente qui doit être prise. Le juge ne déduit pas l’urgence du seul mot « RGPD ».
Le référé ne tranche pas toujours le fond du traitement. Il peut ordonner une mesure provisoire lorsque les conditions procédurales sont remplies, tandis qu’une action au fond peut examiner la licéité, la responsabilité et le montant d’un dommage. Évitez d’annoncer dans votre courrier qu’une infraction est déjà établie si les faits sont discutés. Décrivez les indices, les réponses reçues et la mesure demandée ; la qualification définitive appartient à l’autorité ou au juge compétent.
La réparation obéit à une autre analyse. L’article 82 du RGPD prévoit que toute personne ayant subi un dommage matériel ou moral du fait d’une violation peut demander réparation au responsable ou au sous-traitant dans les conditions du texte. Le texte complet de l’article 82 précise aussi les règles de responsabilité et d’exonération. Conservez les pièces qui relient le traitement contesté au dommage allégué : décision prise sur la donnée, frais exposés, temps consacré à la correction, conséquences professionnelles ou atteinte personnelle documentée. La seule absence de réponse ne permet pas de chiffrer automatiquement un préjudice.
Les frais d’une instance suivent encore une question distincte. L’article 696 du code de procédure civile prévoit en principe la condamnation de la partie perdante aux dépens, sous réserve de la décision motivée du juge. L’article 700 permet au juge de fixer une somme au titre des frais exposés et non compris dans les dépens, en tenant compte de l’équité ou de la situation économique de la partie condamnée. Ces textes ne préjugent ni de l’issue d’une demande de limitation ni de l’existence d’un dommage.
Une demande de limitation peut enfin s’inscrire dans un contrat informatique, un SaaS ou un projet de traitement confié à un prestataire. Dans ce cas, distinguez les obligations contractuelles — sauvegarde, réversibilité, sécurité, niveau de service — des droits RGPD. Le contrat peut prévoir un canal d’incident ou un audit, mais il ne remplace pas l’identification du responsable et du traitement visés par l’article 18. Si un prestataire refuse d’exécuter une instruction de gel, documentez le refus et vérifiez la clause qui répartit les rôles avant de demander une suspension de paiement ou une résiliation.
Conclusion
Le droit à la limitation du traitement RGPD est une mesure de protection ciblée : il permet de geler l’utilisation d’une donnée pendant une vérification, de préserver une preuve ou de maintenir une information lorsque l’effacement n’est pas le résultat recherché. Pour être utile, la demande doit identifier le traitement, rattacher les faits à l’un des quatre cas de l’article 18, préciser la portée du gel et conserver la preuve de sa réception.
L’organisme doit répondre dans le cadre de l’article 12, informer des destinataires et prévenir avant de lever la limitation. Si la mesure n’est pas appliquée, une réclamation auprès de la CNIL et un recours juridictionnel peuvent être envisagés selon les parties, l’urgence et les éléments disponibles. La décision du tribunal judiciaire d’Arras montre que le juge peut ordonner une justification des mesures de limitation, mais chaque dossier dépend de la demande formulée, des preuves et du traitement concerné. La cour d’appel d’Aix-en-Provence, le 7 février 2025, n° 21/12650, a également retenu, dans le contentieux qui lui était soumis, que l’article 18 permettait la conservation de données utiles à une action en justice tout en encadrant leur modification, leur partage et leur utilisation.