Effacement : que faire quand vous devez garder certaines données ?
Pour qui : Une personne vous demande de tout effacer, alors que votre comptable ou votre conseil vous demande de garder certaines pièces. Vous cherchez une réponse qui respecte les deux.
Répondez par catégorie : ce qui est supprimé, ce qui est conservé, sur quelle base et pendant quelle durée. L’article 17 écarte l’effacement dans la mesure où le traitement est nécessaire notamment pour respecter une obligation légale, ou pour constater, exercer ou défendre des droits en justice.
Conserver une partie ne vous dispense pas d’effacer le reste. La CNIL donne l’exemple simple : supprimer un compte n’entraîne pas la suppression des factures, soumises à une obligation de conservation. Ce qui reste doit sortir de l’usage courant, avec un accès réservé aux personnes habilitées.
Notre avis
Ne répondez ni « tout est effacé », ni « nous devons tout garder ». Dressez un tableau par catégorie de données et répondez ligne par ligne. Un outil exécute le résultat, il ne fait pas ce tri à votre place.
Pourquoi
- L’exception de l’article 17 vaut « dans la mesure où ce traitement est nécessaire », ce qui impose de raisonner donnée par donnée.
- La CNIL explique elle-même qu’une suppression de compte n’emporte pas celle des factures, soumises à une obligation de conservation.
- Le rapport européen sur l’effacement relève des refus non documentés et un manque de séparation des données conservées.
Ce qui change le choix
Un litige réel, une demande visant des contenus publiés ou une obligation sectorielle mal connue : prenez conseil sur la catégorie en cause, et traitez normalement le reste. Le volume change le besoin d’outil, pas la réponse.
L’ordre à suivre
- Rien ne justifie de garder : effacez dans les meilleurs délais.
- Une obligation légale ou la défense d’un droit vise une partie : gardez cette partie, avec un accès restreint.
- Doute pendant l’analyse : limitez l’usage de la donnée jusqu’à la décision.
Le tableau de tri, sur une demande fictive
Exemple fictif : une ancienne cliente d’une boutique en ligne écrit « effacez tout ce que vous avez sur moi » et s’oppose à toute prospection. Une commande reste en litige. Les durées réelles dépendent de vos textes.
| Catégorie | Décision | Base à citer | Où cela reste |
|---|---|---|---|
| Compte et préférences | Supprimer | Article 17, paragraphe 1 : données devenues inutiles | Nulle part, hors sauvegardes |
| Historique marketing | Supprimer | Opposition à la prospection, article 21, et article 17 | Nulle part |
| Factures | Garder | Article 17, paragraphe 3, b : la CNIL cite dix ans au titre du code de commerce | Archive séparée, accès comptable |
| Dossier de la commande en litige | Garder pendant le litige | Article 17, paragraphe 3, e | Dossier restreint, accès juridique |
| Adresse dans la liste d’exclusion de prospection | Garder le strict minimum | La CNIL recommande au moins 3 ans pour tenir compte de l’opposition | Liste dédiée, sans autre usage |
| Sauvegardes | Ne pas modifier si c’est risqué ; tracer | Rapport du CEPD de 2026 | Liste de suppressions à rejouer en cas de restauration |
Les motifs et les exceptions, à relire à chaque demande
Pour effacer, l’article 17 exige qu’un motif s’applique : données devenues inutiles, retrait du consentement sans autre fondement, opposition, traitement illicite, obligation légale d’effacer, données d’un enfant collectées pour un service en ligne. Les exceptions portent sur la liberté d’expression et d’information, l’obligation légale ou la mission d’intérêt public, la santé publique, l’archivage, la recherche ou la statistique dans certaines conditions, et les droits en justice.
L’enquête menée en 2025 par 32 autorités européennes relève des exceptions parfois traitées comme automatiques, sans examen du cas. Elle cite aussi un responsable qui appliquait à tous ses traitements la durée la plus longue valant pour l’un d’eux. Une obligation comptable ne couvre pas un historique de navigation.
Ce qu’il faut faire de ce que vous gardez
- Isolez-le. La CNIL décrit deux façons pour l’archivage intermédiaire : une base séparée, ou une limitation stricte des habilitations.
- Limitez son usage pendant l’analyse. Si vous n’êtes pas sûr, le rapport européen cite la limitation du traitement de l’article 18 comme mesure possible.
- Fixez une date de suppression. La fin de l’obligation ou du litige. Notez-la pour qu’elle ne dépende pas de la mémoire de quelqu’un.
- Prévenez les destinataires. L’article 19 impose de notifier l’effacement à chaque destinataire, sauf impossibilité ou efforts disproportionnés. Pensez aussi à vos sous-traitants.
- Répondez dans le mois. Reprenez le tableau en langage clair. Si vous gardez une partie, donnez les motifs et mentionnez la CNIL et le recours au juge, comme pour toute inaction.
Fermer un compte ne vaut pas effacement
Le rapport européen relève une confusion : proposer de supprimer un compte alors que des données restent dans les systèmes internes. Ne présentez pas la fermeture comme un effacement, et demandez-vous ce que couvre votre bouton « supprimer mon compte ».
Un logiciel peut suivre la demande, garder le tableau et lancer des suppressions dans des systèmes connectés. Vérifiez qu’il sait conserver une catégorie et en effacer une autre pour la même personne, et demandez à le voir. Le choix de la base reste à votre charge. Un outil qui propose une exception par défaut ne vous dispense pas de l’examen du cas.
Limites de cette page
Les durées de cette page sont citées à titre d’exemple d’après la CNIL : code de commerce et autres textes non relus en source propre. Le traitement des sauvegardes reste un sujet ouvert : le rapport du CEPD envisage des orientations supplémentaires. Une demande visant un article de presse suit un autre raisonnement, à examiner avec un conseil.
Prochaine action
Préparez un tableau par catégorie de données avec les colonnes décision, base, emplacement et date de suppression. Essayez-le sur votre dernière demande d’effacement. En cas de litige, laissez la catégorie concernée à votre conseil et traitez les autres.
Preuves et sources
Lu le 5 novembre 2026 : les articles 12, 17, 18, 19 et 21 du RGPD dans le texte publié par la CNIL ; les fiches CNIL sur l’effacement (24 mai 2018), les durées de conservation (2 avril 2026) et les référentiels de gestion commerciale (28 janvier 2022) ; le rapport du CEPD sur l’effacement, adopté le 10 février 2026.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Fait lu. L’article 17 du RGPD prévoit des motifs d’effacement et écarte ce droit dans la mesure où le traitement est nécessaire à la liberté d’expression et d’information, au respect d’une obligation légale ou à une mission d’intérêt public, à la santé publique, à l’archivage, à la recherche ou aux statistiques dans certaines conditions, ou à la constatation, à l’exercice ou à la défense de droits en justice.
Portée : Article 17, paragraphes 1 et 3.
Réserve : Texte reproduit par la CNIL.
- CNIL : CHAPITRE III - Droits de la personne concernée | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. Selon la CNIL, une demande de suppression de compte n’entraîne pas la suppression des factures et autres documents comptables soumis à une obligation légale de conservation, et le délai de conservation d’une facture est de 10 ans.
Portée : Fiches CNIL de 2018 et du 2 avril 2026, renvoi au code de commerce.
Réserve : Code de commerce non relu en source propre.
- CNIL : Le droit à l’effacement : supprimer vos données en ligne 24 mai 2018. Lu le 5 novembre 2026. Document d’origine.
- CNIL : Les durées de conservation des données | CNIL 2 avril 2026. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon la CNIL, l’archivage intermédiaire suppose une séparation avec la base active, physique ou logique, et une consultation ponctuelle et motivée par des personnes spécifiquement habilitées.
Portée : Fiche durées de conservation, 2 avril 2026.
Réserve : Phase qui n’est pas systématique selon la CNIL.
- CNIL : Les durées de conservation des données | CNIL 2 avril 2026. Lu le 5 novembre 2026. Document d’origine.
Fait lu. L’article 19 du RGPD impose de notifier tout effacement à chaque destinataire auquel les données ont été communiquées, sauf si cela se révèle impossible ou exige des efforts disproportionnés, et d’informer la personne sur ces destinataires si elle le demande.
Portée : Article 19.
Réserve : Texte reproduit par la CNIL.
- CNIL : CHAPITRE III - Droits de la personne concernée | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. Le rapport du CEPD adopté le 10 février 2026 relève que des exceptions à l’effacement sont parfois traitées comme automatiquement applicables sans examen du cas, que des responsables ne documentent pas toujours leur refus et n’appliquent pas toujours de mesures comme la limitation du traitement ou la séparation des données.
Portée : Enquête coordonnée 2025, 32 autorités, 764 responsables ayant répondu, section sur les exceptions.
Réserve : Constats agrégés, sans valeur de décision.
- Comité européen de la protection des données : 2025 Coordinated Enforcement Action, Implementation of the right to erasure by controllers Adopté le 10 février 2026. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Le même rapport cite le cas d’un responsable qui appliquait à tous ses traitements la durée la plus longue valant pour l’un d’eux, et relève une confusion entre la fermeture d’un compte en ligne et le droit à l’effacement.
Portée : Sections du rapport sur la procédure et sur les durées.
Réserve : Exemples isolés rapportés par des autorités.
- Comité européen de la protection des données : 2025 Coordinated Enforcement Action, Implementation of the right to erasure by controllers Adopté le 10 février 2026. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Le rapport indique qu’il peut ne pas être souhaitable de modifier des sauvegardes selon les réglages et les risques, et que l’organisme devrait alors suivre les demandes d’effacement et les appliquer autant que possible aux systèmes restaurés.
Portée : Rapport du CEPD, partie sur les sauvegardes.
Réserve : Recommandations non contraignantes, sujet encore ouvert.
- Comité européen de la protection des données : 2025 Coordinated Enforcement Action, Implementation of the right to erasure by controllers Adopté le 10 février 2026. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. La CNIL recommande de conserver au minimum 3 ans les informations permettant de prendre en compte l’opposition à la prospection, de limiter cette conservation aux données nécessaires et de n’en faire aucun autre usage.
Portée : Questions-réponses du 28 janvier 2022 sur les référentiels de gestion commerciale.
Réserve : Recommandation.
- CNIL : Questions-réponses sur les référentiels relatifs à la gestion des activités commerciales et des impayés dans une transaction commerciale 28 janvier 2022. Lu le 5 novembre 2026. Document d’origine.
Notre méthode. Répondre par catégorie de données avec une décision, une base et une date de suppression est une méthode proposée par cette page, et l’exemple de boutique en ligne est fictif.
Portée : Demande d’effacement.
Réserve : Les durées et les bases sont à confirmer pour chaque organisme.
Daté du 5 novembre 2026.