Supprimer ses données personnelles d'internet : le guide CNIL

Vous tapez votre nom dans un moteur de recherche et vous tombez sur une page que vous n'aviez pas oubliée, mais que vous pensiez moins visible. Ou bien votre téléphone sonne pour des offres que vous n'avez jamais demandées. Dans les deux cas, la même question revient : comment faire disparaître tout cela ?

La réponse honnête tient en une phrase. Il n'existe pas de bouton unique pour supprimer ses données personnelles d'internet. Il existe plusieurs droits, qui n'agissent pas au même endroit, et que la CNIL (la Commission nationale de l'informatique et des libertés) décrit dans ses pages d'information. Ce guide les passe en revue dans l'ordre, en s'appuyant uniquement sur ces pages. Quand elles ne précisent pas un point, nous le disons.

Par quoi commencer : l'essentiel en cinq étapes

Si vous ne devez retenir qu'une chose, c'est qu'il faut d'abord savoir qui détient quoi, puis choisir le bon droit pour le bon interlocuteur.

1. Repérez ce qui est visible à votre sujet. Sans savoir quels contenus et quels organismes vous concernent, vous ne saurez pas à qui vous adresser.
2. Distinguez la source et le moteur de recherche. Un contenu gênant peut se trouver sur un site (la source) et apparaître dans les résultats d'un moteur de recherche. Ce sont deux démarches différentes.
3. Choisissez le droit adapté. Effacement pour supprimer une donnée chez celui qui la détient, déréférencement pour retirer un résultat associé à votre nom, opposition pour refuser certains usages, comme la prospection.
4. Précisez exactement ce que vous demandez. La CNIL insiste sur ce point : il faut indiquer précisément quelles sont les données à effacer.
5. Conservez une copie de vos démarches. La CNIL juge cette étape primordiale si vous devez ensuite saisir ses services.

Les sections suivantes détaillent chaque étape. Le résultat dépend de la réponse de l'organisme, qui peut refuser dans certains cas : les pages de la CNIL décrivent ces limites.

Que sont les données personnelles ?

Avant de vouloir les supprimer, il faut savoir de quoi l'on parle. La CNIL définit une donnée personnelle comme toute information se rapportant à une personne physique identifiée ou identifiable.

Une identification directe ou indirecte

Une personne peut être identifiée de deux façons.

• Directement : par son nom et son prénom, par exemple.
• Indirectement : par un numéro de téléphone, un numéro de plaque d'immatriculation, un identifiant comme le numéro de sécurité sociale, une adresse postale ou de courriel, mais aussi la voix ou l'image.

La vidéo explicative de la CNIL ajoute d'autres exemples : l'âge, le genre, l'adresse IP, la signature ou les empreintes digitales. Elle précise que certaines données sont dites sensibles, comme la religion, la sexualité, le dossier médical ou les opinions politiques.

Une seule donnée ou un recoupement

L'identification peut venir d'une seule donnée, comme un nom. Elle peut aussi venir du croisement de plusieurs informations. L'exemple de la CNIL est parlant : une femme vivant à telle adresse, née tel jour et membre de telle association. Aucune de ces informations ne la nomme, mais leur réunion suffit à la reconnaître.

C'est un point utile pour la suite. Une information qui paraît anodine seule peut devenir identifiante une fois rapprochée d'autres.

Ce qui n'en est pas

Les coordonnées d'une entreprise (nom de la société, adresse postale, numéro du standard, courriel de contact générique) ne sont pas, en principe, des données personnelles.

Public ne veut pas dire libre de réutilisation

Une donnée visible par tous reste une donnée personnelle. La CNIL le dit clairement à propos des informations récupérées sur des sites web : ces données, bien que publiquement accessibles, sont des données personnelles. Elles ne sont donc pas librement réutilisables par tout responsable de traitement et ne peuvent pas être réexploitées à l'insu de la personne concernée.

Les traces que vous laissez : cookies et publicité ciblée

Une partie de ce qui est connu de vous n'a pas été publiée par vous. Elle se constitue pendant que vous naviguez.

Le cookie

Selon la CNIL, un cookie est un petit fichier stocké par un serveur dans votre appareil (ordinateur, téléphone, etc.) et associé à un domaine web. Ce fichier est renvoyé automatiquement lors des contacts suivants avec le même domaine.

Les usages sont variés. Un cookie peut mémoriser votre identifiant client sur un site marchand, le contenu de votre panier, la langue d'affichage. Il peut aussi servir d'identifiant pour tracer votre navigation à des fins statistiques ou publicitaires.

La CNIL distingue deux familles d'usages :

• ceux qui sont strictement nécessaires à une fonction que vous avez demandée, ou à l'établissement de la communication, et qui sont exemptés de consentement ;
• les autres, qui nécessitent votre consentement avant lecture ou écriture.

Cookies internes et cookies tiers

Les cookies internes sont déposés par le site que vous consultez, sur son propre domaine. Les cookies tiers sont déposés sur d'autres domaines, généralement gérés par des tiers que le site a sollicités. D'après la CNIL, ces derniers servent majoritairement à permettre au tiers de voir quelles pages vous avez visitées sur le site et de collecter des informations sur vous, notamment à des fins publicitaires.

Cette distinction est technique. Elle n'a pas de conséquence sur l'obligation de demander ou non votre consentement. Ce qui compte, c'est la finalité du cookie.

La publicité ciblée

La publicité ciblée, ou personnalisée, cherche à identifier les personnes individuellement pour leur montrer des messages adaptés à des caractéristiques individuelles. Pour cela, les acteurs de la publicité constituent des profils associés aux utilisateurs.

Sur internet, les informations sur vos centres d'intérêt sont souvent obtenues par des traceurs comme les cookies, ou achetées à des tiers. Ce second point compte : une partie de ce qu'un acteur sait de vous peut venir d'ailleurs que de votre navigation sur son propre site.

Ce que les pages fournies ne disent pas

Les pages consultées définissent le cookie et la publicité ciblée. Elles ne détaillent pas ici comment supprimer les cookies de votre navigateur ni comment refuser les traceurs au cas par cas. Nous ne nous aventurons donc pas sur ce terrain. Ce que vous pouvez en retenir : certains usages de cookies nécessitent votre consentement, et vous pouvez vous opposer à l'utilisation de certaines de vos données (voir plus bas).

Qui peut détenir vos données ?

La CNIL parle d'« organismes » qui collectent et utilisent des informations sur vous. Derrière ce mot, plusieurs situations très différentes.

Les sites et services que vous avez utilisés

C'est le cas le plus simple : un site de commerce en ligne où vous avez un compte, un réseau social, un blog, un forum. La CNIL cite par exemple une photo gênante sur un site internet, ou un contenu visible sur un réseau social. Ici, l'interlocuteur est identifiable : le site lui-même.

Les sociétés qui récupèrent des données publiques

La CNIL reçoit régulièrement des plaintes visant des sociétés qui récupèrent des données personnelles sur des sites web pour faire de la prospection commerciale. Elle cite deux exemples :

• des sociétés qui collectent des numéros de téléphone de personnes ayant publié une annonce sur un site de vente entre particuliers, ou figurant dans des annuaires en ligne ;
• les sociétés de « pige immobilière », qui consultent les annonces en ligne, en aspirent les coordonnées, puis vendent ces piges à des agences immobilières ou à des sociétés de services qui démarchent les personnes.

Ces entreprises utilisent des logiciels d'extraction automatique (le web scraping) pour collecter des coordonnées dans les espaces publics d'internet.

Les contrôles menés par la CNIL en 2019 ont révélé plusieurs manquements :

• l'absence d'information des personnes démarchées, en particulier sur la source des données ;
• le défaut de consentement avant un démarchage par message électronique ou par automate d'appel ;
• le non-respect du droit d'opposition.

La CNIL donne un exemple de ce qu'une personne peut raisonnablement attendre : quelqu'un qui dépose une annonce sur un site de ventes entre particuliers ne s'attend pas à être prospecté par un professionnel. Ses données ne peuvent donc pas être traitées sans son consentement.

Les courtiers en données

Un courtier en données (data broker en anglais) est un intermédiaire qui participe à la revente de données. La CNIL parle des « nombreux intermédiaires » de l'écosystème de la prospection commerciale.

Le cas de la société TAGADAMEDIA illustre le mécanisme. Elle exploite des sites de jeux-concours et de tests de produits, par lesquels elle collecte des données de prospects. Ces données sont ensuite transmises à des partenaires pour de la prospection commerciale. La CNIL a constaté que l'apparence des formulaires ne permettait pas de recueillir un consentement libre, éclairé et univoque : le bouton pour accepter était mis en valeur, celui pour refuser ne l'était pas, et le texte était incomplet et en taille réduite.

La CNIL a prononcé une amende de 75 000 euros. Le Conseil d'État a ensuite ramené ce montant à 50 000 euros, pour une raison de procédure : la CNIL avait remplacé un manquement par un autre sans que la société puisse présenter ses observations sur ce point.

Cet exemple ne dit pas que tous les courtiers agissent ainsi. Il montre en revanche comment des données remises dans un cadre (un jeu-concours) peuvent circuler vers d'autres acteurs.

Ce que les pages ne précisent pas

Les pages fournies ne décrivent aucune procédure propre aux courtiers en données. Elles ne donnent pas de liste de ces sociétés ni de méthode pour savoir lesquelles détiennent vos informations. Ce qu'elles décrivent, ce sont des droits qui s'exercent auprès de tout organisme qui utilise vos données. C'est de ces droits qu'il est question maintenant.

Les droits décrits par la CNIL

La CNIL présente une série de droits que vous pouvez exercer auprès des organismes qui utilisent vos données. Voici ce que dit sa page de synthèse.

Pour supprimer des données, trois droits comptent surtout : l'effacement, le déréférencement et l'opposition. Le droit d'accès, lui, permet d'obtenir et de vérifier les données qu'un organisme détient sur vous. Les pages fournies n'en détaillent pas la procédure, mais la CNIL y consacre une page dédiée.

Le droit à l'effacement : agir à la source

Le droit à l'effacement permet de demander à un organisme l'effacement de données à caractère personnel vous concernant. Il repose sur l'article 17 du RGPD (le règlement général sur la protection des données). C'est la démarche qui vise la donnée là où elle est conservée.

Dans quels cas peut-on l'obtenir ?

La CNIL cite des exemples : une photo gênante sur un site, ou une information collectée par un organisme et que vous jugez inutile. Vous pouvez obtenir l'effacement si au moins une de ces situations correspond à votre cas :

• vos données sont utilisées à des fins de prospection ;
• elles ne sont pas ou plus nécessaires au regard des objectifs pour lesquels elles ont été collectées ;
• vous retirez votre consentement à leur utilisation ;
• elles font l'objet d'un traitement illicite (la CNIL donne l'exemple de la publication de données piratées) ;
• elles ont été collectées lorsque vous étiez mineur, dans le cadre de la société de l'information (blog, forum, réseau social, site web) ;
• elles doivent être effacées pour respecter une obligation légale ;
• vous vous êtes opposé au traitement et le responsable du fichier n'a pas de motif légitime ou impérieux de refuser.

La mention de la publication de données piratées est utile si vous vous demandez ce qu'il en est après une fuite de données. Elle est donnée comme exemple de traitement illicite. Les pages fournies n'en disent pas davantage sur la façon de procéder dans ce cas précis.

Des situations concrètes

La CNIL en donne trois :

• vous ne souhaitez plus utiliser un site de commerce en ligne : vous demandez la fermeture du compte et l'effacement des données associées ;
• un contenu gênant vous concernant est visible sur un réseau social : vous pouvez demander sa suppression directement auprès du site ;
• vous voulez qu'un lien vers un contenu gênant ne soit plus référencé à votre nom-prénom : c'est une autre démarche, le déréférencement (voir plus bas).

Ce que l'effacement ne fait pas

C'est le point le plus important à comprendre. Selon la CNIL, l'exercice de ce droit n'entraîne pas la suppression simple et définitive de toutes les données vous concernant détenues par l'organisme. Deux exemples :

• une demande d'effacement de votre photo sur un site n'aboutit pas à la suppression de votre compte ;
• une demande de suppression de votre compte n'entraîne pas la suppression des factures et autres documents comptables relatifs à vos achats, pour lesquels une obligation légale de conservation existe.

C'est pour cela qu'il faut nommer précisément les données visées.

Les limites du droit

La CNIL indique que le droit à l'effacement est écarté dans un nombre de cas limité. Il ne doit pas aller à l'encontre :

• de l'exercice du droit à la liberté d'expression et d'information ;
• du respect d'une obligation légale (exemple donné : le délai de conservation d'une facture, soit 10 ans) ;
• de l'utilisation de données qui concernent un intérêt public dans le domaine de la santé ;
• de leur utilisation à des fins archivistiques dans l'intérêt public, de recherche scientifique ou historique, ou à des fins statistiques ;
• de la constatation, de l'exercice ou de la défense de droits en justice.

Une demande peut donc être refusée, en tout ou partie.

Les articles de presse

La CNIL renvoie vers une page dédiée à la question : peut-on demander à supprimer des données figurant dans un article de presse diffusé en ligne ? Le contenu de cette page ne fait pas partie de ce que nous avons consulté, nous ne le résumons donc pas. Retenez que la liberté d'expression et d'information figure parmi les limites du droit.

Le déréférencement : agir sur les résultats de recherche

Le déréférencement répond à une autre situation. Vous pouvez demander aux moteurs de recherche de ne plus associer un contenu qui vous porte préjudice à vos nom et prénom.

Ce que c'est

Le déréférencement permet de faire supprimer un ou plusieurs résultats fournis par un moteur de recherche à l'issue d'une requête faite à partir de votre identité (nom et prénom). La CNIL en donne des exemples :

• des propos gênants sur un blog dont le propriétaire refuse de les supprimer ou a perdu ses accès ;
• un ancien CV que vous découvrez en tapant votre nom et dont le site refuse la suppression ;
• des informations sur votre activité du week-end, diffusées sur le site de votre association, que vous ne voulez pas voir découvertes par un recruteur.

Ce qu'il ne fait pas

La CNIL est nette : cette suppression ne conduit pas à effacer l'information sur le site source. Le contenu original reste inchangé. Il reste accessible avec d'autres critères de recherche, ou en allant directement sur le site qui le diffuse.

Autre limite : la demande ne concerne que les résultats qui apparaissent à la saisie de votre nom et prénom. Un résultat déréférencé reste accessible à partir de recherches faites sans votre nom et prénom.

La CNIL en tire elle-même la conséquence : pour supprimer l'information sur le site source, privilégiez une demande d'effacement auprès du responsable du site.

Comment faire concrètement

1. Trouvez le formulaire du moteur de recherche. D'après la CNIL, les principaux moteurs mettent à disposition un formulaire de demande de suppression de résultats. Elle cite Bing, Google, Qwant et Yahoo! EMEA Ltd. Pour les autres moteurs, elle renvoie à une fiche pratique qui aide à retrouver leurs coordonnées.
2. Formulez la demande. Adressez au moteur, par son formulaire en ligne, une demande de « déréférencement d'un contenu vous concernant s'affichant dans la liste de résultats du moteur de recherche ».
3. Indiquez l'adresse web (URL) du résultat visé. La CNIL explique comment la copier : clic droit sur le lien du résultat, puis « copier l'adresse du lien ».
4. Motivez la demande. Expliquez au moteur pourquoi vous souhaitez que ce lien soit déréférencé.
5. Conservez une copie de vos démarches.

Comme pour l'effacement, le moteur ne peut vous demander un justificatif d'identité que s'il a des doutes raisonnables sur votre identité, et pas de pièces abusives, non pertinentes ou disproportionnées.

Le refus possible

Si le moteur de recherche démontre que l'information doit être portée à la connaissance du public, il peut refuser d'y donner suite.

Vérifier que le résultat a bien disparu

La CNIL indique que son laboratoire a développé une extension de navigateur (elle cite Firefox et Chrome). Elle permet de déterminer si un lien apparaît ou non parmi les résultats d'un moteur à la saisie de votre nom, et donc de vérifier s'il a été déréférencé après votre demande.

Effacement et déréférencement : le tableau comparatif

Les deux démarches sont souvent confondues. Voici leurs différences, telles que la CNIL les présente.

La CNIL recommande de privilégier l'effacement quand l'objectif est de supprimer l'information elle-même sur le site source.

Le droit d'opposition : refuser certains usages

La CNIL présente ce droit simplement : vous pouvez vous opposer à tout moment à ce qu'un organisme utilise certaines de vos données. Il repose sur l'article 21 du RGPD.

Opposition et prospection

Le sujet revient dans la page consacrée à la réutilisation des données publiques. Les sociétés qui démarchent par un moyen autre que l'automate d'appel, par exemple par téléphone, doivent paramétrer leurs logiciels pour ne pas collecter les données des personnes inscrites sur des listes anti-prospection, auprès d'un opérateur téléphonique ou auprès du dispositif BLOCTEL. Elles ne doivent pas non plus démarcher les personnes qui se sont déjà opposées à recevoir leurs sollicitations.

Pour le démarchage par message électronique ou par automate d'appels, la règle est différente : la société doit recueillir le consentement des personnes avant ces actions. Ce consentement doit être libre, spécifique, éclairé et univoque. La CNIL précise que l'acceptation générale et indifférenciée des conditions d'utilisation d'un service ne vaut pas consentement spécifique.

Opposition et effacement

Les deux droits sont reliés. Dans la liste des cas d'effacement, la CNIL cite celui où vous vous êtes opposé au traitement et où le responsable du fichier n'a pas de motif légitime ou impérieux de refuser. Elle cite aussi l'utilisation de vos données à des fins de prospection.

Ce que les pages ne précisent pas

Les pages fournies ne détaillent pas la procédure d'opposition elle-même, ni un modèle de courrier dédié. La CNIL renvoie vers une page spécifique à ce droit, que nous n'avons pas consultée. Pour l'effacement, en revanche, elle propose un modèle, que voici.

Rédiger votre demande d'effacement

Étape 1 : identifier l'organisme

Identifiez l'organisme, puis rendez-vous sur la page d'information réservée à l'exercice des droits sur son site. La CNIL cite comme intitulés possibles « politique de confidentialité », « politique vie privée » ou « mentions légales ». Si vous avez du mal à trouver les coordonnées du délégué à la protection des données ou du responsable, la CNIL renvoie à une fiche pratique dédiée.

Étape 2 : choisir le canal

La demande peut se faire par voie électronique (formulaire, adresse électronique, bouton de téléchargement) ou par courrier, par exemple. La CNIL ne désigne pas un canal comme obligatoire dans les pages fournies.

Étape 3 : désigner précisément les données

Indiquez précisément quelles sont les données que vous souhaitez effacer. Rappelez-vous l'exemple de la CNIL : demander l'effacement d'une photo ne supprime pas le compte.

Étape 4 : expliquer le motif

Indiquez pourquoi vous demandez la suppression. Le modèle de la CNIL contient un champ prévu pour cela. Les cas listés plus haut (prospection, données inutiles, retrait du consentement, traitement illicite, etc.) peuvent vous aider à nommer votre motif.

Étape 5 : le modèle de courrier de la CNIL

La CNIL met à disposition un modèle à personnaliser, « Supprimer des données personnelles ». Son contenu, dans les grandes lignes :

• il invoque l'article 17.1 du RGPD et demande l'effacement des fichiers de l'organisme pour les données que vous listez ;
• il comporte un champ pour le motif de la demande ;
• il demande à l'organisme de notifier la demande d'effacement aux organismes auxquels il aurait communiqué vos données (article 19 du RGPD) ;
• il demande une réponse dans les meilleurs délais et au plus tard dans un délai d'un mois à compter de la réception du courrier (article 12.3 du RGPD) ;
• il annonce qu'à défaut de réponse dans les délais, ou en cas de réponse incomplète, vous saisirez la CNIL d'une réclamation.

Les champs du formulaire en ligne sont facultatifs, et la CNIL précise qu'elle ne conserve aucune des informations saisies. Un autre modèle existe pour clôturer un compte en ligne.

Étape 6 : la question de l'identité

L'organisme ne peut vous demander de prouver votre identité que s'il a des doutes raisonnables, par exemple pour éviter les usurpations d'identité. Il ne peut pas exiger des pièces abusives, non pertinentes ou disproportionnées par rapport à votre demande.

Étape 7 : garder une copie

La CNIL qualifie cette étape de primordiale si vous voulez ensuite saisir ses services. Elle suggère de réaliser une capture d'écran de votre demande ou de la réponse, de conserver une copie du courriel ou de la demande faite par voie électronique, et, pour un courrier, de demander un accusé de réception qui prouvera la date de votre démarche.

Que faire en cas de refus ou sans réponse ?

Les délais

Selon la CNIL, le responsable du fichier doit procéder à l'effacement dans les meilleurs délais et au plus tard dans un délai d'un mois. Ce délai peut être porté à trois mois, compte tenu de la complexité de la demande. Dans ce cas, l'organisme doit vous informer des raisons de la prolongation.

Pour le déréférencement, le délai est le même : un mois, pouvant aller jusqu'à trois mois compte tenu de la complexité de la demande ou du nombre de demandes reçues. Là aussi, le moteur doit vous expliquer la prolongation.

Saisir la CNIL

En cas de réponse insatisfaisante, ou d'absence de réponse sous un mois, vous pouvez saisir la CNIL. Pour le déréférencement, la CNIL précise que la plainte peut être adressée par courrier ou en ligne, et qu'elle vous demandera la copie de votre demande et celle de la réponse du moteur.

Ces pages ne disent rien de plus sur la suite : elles ne décrivent ni la durée de traitement par la CNIL ni l'issue qu'on peut en attendre. Nous ne l'extrapolons pas.

Refus et silence

Un refus peut s'appuyer sur l'une des limites du droit décrites plus haut, par exemple une obligation légale de conservation. L'absence de réponse sous un mois, elle, figure explicitement parmi les cas où la CNIL peut être saisie.

Ce que ce guide ne peut pas dire

Par honnêteté, voici ce que les pages de la CNIL consultées ne précisent pas :

• Aucun effacement complet n'est annoncé. Au contraire, la CNIL décrit des limites et des exemples de données conservées.
• Pas de méthode pour retrouver tous vos courtiers en données. Les pages décrivent les pratiques et une sanction, pas un annuaire.
• Pas de procédure détaillée pour l'opposition, ni pour l'accès, dans les pages fournies. La CNIL a des pages dédiées à ces droits.
• Pas de règle spécifique aux fuites de données au-delà de la mention des données piratées comme exemple de traitement illicite.
• Pas de consigne sur les cookies de votre navigateur. Les pages définissent le cookie sans détailler sa suppression.

Ces limites sont celles que décrit la CNIL. Elles montrent qu'aucune démarche ne permet de promettre une disparition totale de vos données.

Où Remove Me s'inscrit dans cette démarche

Tout part d'un constat : on ne peut pas demander la suppression de ce qu'on ne voit pas. Remove Me propose une analyse gratuite, sans compte : vous saisissez vos informations, et le service cherche ce qui est publiquement visible dans les résultats web, dans les fuites de données publiques connues (via Have I Been Pwned) et dans un registre de courtiers en données. Il affiche ensuite un bilan, que vous débloquez avec un code à 6 chiffres envoyé par e-mail.

Ce bilan est un point de départ. Un bilan vide n'est pas la preuve que rien n'existe : l'analyse ne voit que ce qu'elle peut chercher. Et Remove Me n'envoie pas encore de demandes d'effacement à votre place : les démarches décrites dans ce guide restent à faire par vous.

Si vous voulez savoir par où commencer, l'analyse vous donne une première vue de ce qui est visible, donc de ce qu'il peut être utile de demander.

En résumé

• Une donnée personnelle est toute information qui permet d'identifier une personne, seule ou par recoupement. Qu'elle soit publique n'en fait pas une donnée libre de réutilisation.
• Les cookies et la publicité ciblée produisent des traces et des profils, avec des informations venant parfois de tiers.
• Pour supprimer à la source : le droit à l'effacement, auprès de l'organisme, avec des données désignées précisément et des limites prévues.
• Pour retirer un résultat de recherche associé à votre nom : le déréférencement, auprès du moteur, sans effet sur le site d'origine.
• Pour refuser certains usages, notamment la prospection : le droit d'opposition.
• Sans réponse sous un mois, ou en cas de réponse insatisfaisante : la CNIL peut être saisie, copies de vos démarches à l'appui.

Chaque démarche demande un peu de méthode, et le résultat dépend de la réponse de l'organisme ou du moteur de recherche. Mais ces droits existent, et ils s'adressent à vous.

L'équipe Remove Me