- Le « droit à l'oubli » est le nom courant du droit à l'effacement, prévu par l'article 17 du RGPD. Il n'est pas absolu.
- Une personne peut demander l'effacement si ses données ne sont plus nécessaires, si elle retire son consentement, si elle s'oppose au traitement ou si celui-ci est illicite.
- Le droit est écarté en cas d'obligation légale de conservation (factures, paie), de liberté d'expression, d'intérêt public ou de défense en justice.
- Vous devez répondre dans un délai d'un mois, prolongeable à trois mois si la demande est complexe, et documenter votre réponse.
- L'effacement (à la source) ne doit pas être confondu avec le déréférencement Google (retrait d'un lien dans les résultats de recherche).
Le droit à l'oubli, qu'est-ce que c'est exactement ?
Le « droit à l'oubli » est l'appellation courante du droit à l'effacement. Il est encadré par l'article 17 du RGPD. Il permet à toute personne de demander la suppression des données personnelles qu'un organisme détient sur elle.
Ce droit ne crée pas un « droit à disparaître » général. Il s'exerce dans des cas précis, listés par le texte. Et il connaît de vraies limites, que nous détaillons plus bas.
Concrètement, toute entreprise qui collecte des données via son site peut recevoir ce type de demande. Un formulaire de contact, une newsletter, un compte client ou un simple fichier prospects suffisent à vous rendre concerné. Savoir y répondre fait partie des bases de la conformité.
Dans quels cas une personne peut demander l'effacement
Le RGPD prévoit plusieurs situations. La demande est fondée si l'une d'elles s'applique. Les données ne sont plus nécessaires au regard de la finalité pour laquelle elles avaient été collectées. La personne retire le consentement sur lequel reposait le traitement. Elle s'oppose au traitement et vous n'avez pas de motif légitime impérieux d'y passer outre.
D'autres cas s'ajoutent. Les données font l'objet d'un traitement illicite. Elles sont utilisées à des fins de prospection commerciale, contexte dans lequel l'opposition est un droit inconditionnel. Elles doivent être effacées pour respecter une obligation légale, ou ont été collectées auprès d'un mineur dans le cadre de services en ligne.
En pratique, la plupart des demandes de TPE/PME relèvent de deux motifs : le retrait d'une inscription à la newsletter, et la suppression d'un compte client devenu inutile. Dans ces cas simples, l'effacement est généralement dû.
Les limites : quand vous pouvez refuser
Le droit à l'effacement est écarté dans un nombre limité de cas. Le plus fréquent pour une entreprise est l'obligation légale de conservation. Vous ne pouvez pas supprimer une facture avant la fin du délai comptable et fiscal, soit dix ans. Les bulletins de paie ou certains contrats obéissent à la même logique. Pour cartographier ces délais, appuyez-vous sur les durées de conservation des données applicables à chaque traitement.
Le droit cède aussi devant la liberté d'expression et d'information. C'est l'exception invoquée par les médias et les sites d'information. Il cède encore pour l'exercice ou la défense d'un droit en justice : vous pouvez conserver des pièces utiles à un litige en cours ou probable.
S'ajoutent l'intérêt public, la santé publique et la recherche ou les statistiques d'intérêt général. Attention toutefois : une exception ne vaut que pour les données strictement concernées. Devoir garder une facture ne vous autorise pas à maintenir la personne dans votre fichier de prospection.
Quel délai pour répondre à une demande
Vous devez répondre dans les meilleurs délais, et au plus tard un mois après la réception de la demande. Ce délai peut être porté à trois mois si la demande est complexe ou si vous recevez de nombreuses demandes. Dans ce cas, vous devez prévenir la personne du report et de ses raisons, toujours dans le premier mois.
La réponse est en principe gratuite. Une demande manifestement infondée ou excessive, notamment par son caractère répétitif, peut faire l'objet de frais raisonnables ou d'un refus.
Même lorsque vous refusez, vous devez répondre. Vous motivez alors le refus, en citant l'exception qui s'applique, et vous informez la personne de son droit de saisir la CNIL. L'absence de réponse est l'une des premières sources de plainte.
Comment traiter une demande dans une TPE/PME
La démarche tient en quatre étapes. D'abord, vérifiez l'identité du demandeur, de manière proportionnée. Si la personne est déjà identifiée (compte client, adresse connue), n'exigez pas de copie de pièce d'identité par réflexe : c'est souvent excessif.
Ensuite, déterminez le périmètre. Recensez tous les endroits où figurent les données : CRM, outil d'emailing, comptabilité, sauvegardes, mais aussi vos sous-traitants. Vous devez répercuter la demande auprès d'eux. Une démarche de conformité de votre site web vous aide à tenir cet inventaire à jour.
Enfin, répondez et exécutez, puis documentez. Effacez ce qui doit l'être, conservez ce que la loi impose, et gardez une trace écrite de la demande et de votre réponse. Pensez aussi à informer clairement les personnes de ce droit en amont : le générateur de politique de confidentialité vous permet de le mentionner correctement.
Effacement ou déréférencement Google : ne pas confondre
Ces deux notions sont souvent mélangées, alors qu'elles ne visent pas la même chose. Le déréférencement s'adresse à un moteur de recherche. Il consiste à retirer un lien des résultats associés à la requête « nom prénom ». Le contenu source, lui, reste en ligne et accessible par d'autres chemins.
L'effacement, au contraire, s'adresse au responsable du site à l'origine de la publication. Il vise la suppression de la donnée à la source. Ce sont donc deux demandes distinctes, à deux destinataires distincts.
Pour une TPE/PME, la règle est simple. Si l'on vous demande de supprimer une donnée que vous hébergez ou publiez, il s'agit d'un effacement, et c'est à vous d'agir. Le déréférencement, lui, se demande directement au moteur de recherche.
Pourquoi formaliser une procédure interne
En 2025, la CNIL et ses homologues européens ont mené une action coordonnée sur le droit à l'effacement. Le constat principal ne portait pas sur des refus abusifs, mais sur l'absence de procédures internes adaptées et sur un manque d'information aux personnes. Le droit à l'effacement représentait par ailleurs près de 37 % des plaintes reçues par la CNIL en 2024.
La leçon est claire pour une petite structure. Le risque vient rarement de la mauvaise foi. Il vient de l'improvisation : une demande qui se perd, une réponse hors délai, une donnée oubliée dans un outil. Une procédure écrite, même courte, qui désigne un référent et fixe les étapes, suffit à sécuriser la réponse.
Cet article est informatif et ne constitue pas un conseil juridique. Pour savoir où vous en êtes concrètement, notre audit RGPD gratuit analyse votre site et identifie les points à corriger, dont votre capacité à traiter les demandes d'effacement.
Où en est votre site aujourd’hui ?
Obtenez votre score de conformité RGPD en 20 secondes, gratuitement et sans inscription.
Lancer l’audit gratuitCet article est informatif et ne constitue pas un conseil juridique.