Comment demander l'effacement de ses données personnelles

Vous avez trouvé une photo gênante, une fiche qui vous concerne ou un compte que vous n'utilisez plus. Vous voulez que ces données disparaissent. La démarche existe, elle est encadrée par la loi, et elle tient en quelques étapes simples. Voici comment procéder, en suivant ce que décrit la CNIL.

Ce qu'est le droit à l'effacement et sur quoi il repose

Vous avez le droit de demander à un organisme l'effacement de données à caractère personnel vous concernant. Ce droit repose sur l'article 17 du règlement général sur la protection des données (RGPD).

La CNIL précise que vous pouvez l'exercer si au moins une de ces situations correspond à votre cas :

• vos données sont utilisées à des fins de prospection ;
• elles ne sont pas ou plus nécessaires au regard des objectifs pour lesquels elles ont été collectées ou traitées ;
• vous retirez votre consentement à leur utilisation ;
• elles font l'objet d'un traitement illicite, par exemple la publication de données piratées ;
• elles ont été collectées lorsque vous étiez mineur, dans le cadre de la société de l'information (blog, forum, réseau social, site web) ;
• elles doivent être effacées pour respecter une obligation légale ;
• vous vous êtes opposé au traitement et le responsable du fichier n'a pas de motif légitime ou impérieux de refuser.

Quelques exemples donnés par la CNIL. Vous ne voulez plus utiliser un site de commerce en ligne : vous demandez la fermeture du compte et l'effacement des données associées. Un contenu gênant est visible sur un réseau social : vous demandez sa suppression directement auprès du site. Un lien vers un contenu gênant apparaît à votre nom et prénom : vous contactez directement le moteur de recherche.

À qui écrire

Il faut d'abord identifier l'organisme qui détient les données. Rendez-vous ensuite sur la page de son site consacrée à l'exercice de vos droits. Elle peut s'intituler « politique de confidentialité », « politique vie privée » ou « mentions légales ».

Vous y trouverez les moyens de le contacter. Si vous avez du mal à obtenir les coordonnées du délégué à la protection des données ou du responsable, la CNIL propose une fiche pratique pour vous aider.

Savoir qui détient quoi n'est pas toujours évident. L'analyse gratuite de Remove Me peut aider à y voir plus clair : sans compte, vous saisissez vos informations, et le service cherche ce qui est visible dans les résultats web publics, dans les fuites de données connues (via Have I Been Pwned) et dans un registre de courtiers en données. Le bilan s'affiche ensuite, après saisie d'un code à 6 chiffres reçu par e-mail. Un bilan vide ne prouve pas que rien n'existe : il montre seulement ce que l'analyse a trouvé.

Comment envoyer la demande

Vous pouvez l'envoyer par voie électronique (formulaire, adresse e-mail, bouton de téléchargement) ou par courrier.

Précisez les données à effacer

La CNIL juge très important d'indiquer précisément quelles données vous voulez voir effacées. L'exercice de ce droit n'entraîne pas la suppression simple et définitive de tout ce que l'organisme détient sur vous.

Deux exemples de la CNIL :

• une demande d'effacement de votre photo sur un site n'aboutira pas à la suppression de votre compte ;
• une demande de suppression de votre compte n'entraînera pas la suppression des factures et autres documents comptables de vos achats, car une obligation légale de conservation existe.

Ce que contient le courrier type

La CNIL met à disposition un modèle de courrier, que vous pouvez personnaliser. Il comporte les éléments suivants :

1. Une demande d'effacement, fondée sur l'article 17.1 du RGPD, des données personnelles que vous listez.
2. Le motif pour lequel vous demandez cette suppression.
3. Une demande de notifier l'effacement aux organismes auxquels les données auraient été communiquées (article 19 du RGPD).
4. Une demande de réponse dans les meilleurs délais et au plus tard dans un délai d'un mois à compter de la réception du courrier (article 12.3 du RGPD).
5. L'annonce que, sans réponse dans les délais ou en cas de réponse incomplète, vous saisirez la CNIL d'une réclamation.

Les champs du formulaire de personnalisation sont facultatifs. La CNIL indique ne conserver aucune des informations personnelles que vous y saisissez.

Et si l'organisme demande une pièce d'identité

Il ne peut le faire que s'il a des doutes raisonnables sur votre identité, par exemple pour éviter les usurpations d'identité. En revanche, il ne peut pas réclamer des pièces abusives, non pertinentes ou disproportionnées par rapport à votre demande.

Gardez une trace de chaque étape

La CNIL qualifie cette étape de primordiale : elle vous servira si vous devez la saisir plus tard.

• Faites une capture d'écran de votre demande ou de la réponse.
• Par courrier, demandez un accusé de réception : il prouvera la date de votre démarche.
• Conservez une copie du courriel ou de la demande faite par voie électronique.

Le délai de réponse

L'organisme doit procéder à l'effacement dans les meilleurs délais et au plus tard dans un délai d'un mois. Ce délai peut être porté à trois mois, compte tenu de la complexité de la demande. Dans ce cas, il doit vous informer des raisons de cette prolongation.

Notez la date de votre démarche dès le départ. Elle vous permettra de savoir quand le délai d'un mois est écoulé.

En cas de refus ou de silence

Si la réponse est insatisfaisante, ou si vous n'avez aucune réponse sous un mois, vous pouvez saisir la CNIL. C'est ici que vos captures d'écran, vos copies et vos accusés de réception servent. Ils montrent ce que vous avez demandé, à qui, et à quelle date.

Les limites du droit

Le droit à l'effacement est écarté dans un nombre limité de cas. Selon la CNIL, il ne doit pas aller à l'encontre :

• de la liberté d'expression et d'information ;
• du respect d'une obligation légale, par exemple le délai de conservation d'une facture, qui est de 10 ans ;
• de l'utilisation de données qui concernent un intérêt public dans le domaine de la santé ;
• de leur utilisation à des fins archivistiques dans l'intérêt public, de recherche scientifique ou historique, ou à des fins statistiques ;
• de la constatation, de l'exercice ou de la défense de droits en justice.

Si la réponse vous paraît incomplète ou insatisfaisante, la voie de la CNIL reste ouverte.

Ce que Remove Me fait, et ne fait pas

Remove Me n'envoie pas encore de demandes d'effacement à votre place. Ce que le service propose aujourd'hui, c'est une analyse gratuite, sans compte, pour voir ce qui est visible à votre sujet. La demande elle-même, vous l'adressez vous-même à l'organisme concerné, avec le modèle de la CNIL si vous le souhaitez.

Pour partir d'un état des lieux, vous pouvez lancer l'analyse gratuite avant de rédiger vos courriers.