Droit à l'effacement : Définition juridique et Applications

Le droit à l'effacement, parfois dénommé droit à l'oubli, désigne la prérogative reconnue à toute personne concernée d'obtenir du responsable de traitement l'effacement, dans les meilleurs délais, des données à caractère personnel la concernant lorsque l'une des hypothèses limitativement énumérées par l'article 17 du Règlement (UE) 2016/679 est caractérisée. Cette prérogative constitue l'un des droits emblématiques du RGPD et l'un des plus fréquemment invoqués devant les responsables de traitement et les autorités de contrôle.

L'enjeu pratique du droit à l'effacement dépasse la simple suppression matérielle des données. Il impose au responsable de traitement une analyse juridique préalable (la demande remplit-elle l'une des conditions de l'article 17 ?), une analyse technique (l'effacement est-il opérationnellement possible ?), et une analyse en termes d'archivage (les obligations légales de conservation s'opposent-elles à l'effacement ?).

L'arrêt fondateur Google Spain de la CJUE du 13 mai 2014 (C-131/12) a consacré le droit à l'oubli numérique en imposant aux moteurs de recherche le déréférencement des pages contenant des informations obsolètes, inexactes ou disproportionnées sur la personne concernée. Cette jurisprudence, rendue sous l'empire de la directive 95/46/CE, a ouvert la voie à la consécration formelle du droit à l'effacement par l'article 17 du RGPD.

Vous souhaitez exercer ou défendre une demande d'effacement ? Le Cabinet Aurore Bonavia accompagne les organisations et les personnes concernées dans les demandes d'effacement RGPD. → Voir l'accompagnement en droit du numérique

Les six hypothèses ouvrant le droit à l'effacement

L'article 17 paragraphe 1 du RGPD énumère six hypothèses dans lesquelles la personne concernée peut obtenir l'effacement de ses données :

« La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais, lorsque l'un des motifs suivants s'applique : a) les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d'une autre manière ; b) la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l'article 6, paragraphe 1, point a), ou à l'article 9, paragraphe 2, point a), et il n'existe pas d'autre fondement juridique au traitement ; c) la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 1, et il n'existe pas de motif légitime impérieux pour le traitement, ou la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 2 ; d) les données à caractère personnel ont fait l'objet d'un traitement illicite ; e) les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l'Union ou par le droit de l'État membre auquel le responsable du traitement est soumis ; f) les données à caractère personnel ont été collectées dans le cadre de l'offre de services de la société de l'information visée à l'article 8, paragraphe 1. »

Ces hypothèses ne se cumulent pas : il suffit que l'une d'entre elles soit caractérisée pour que la personne concernée puisse exiger l'effacement. La pratique des contrôles CNIL retient une interprétation favorable à la personne concernée des conditions d'application de ces hypothèses.

Les exceptions à l'obligation d'effacement

L'article 17 paragraphe 3 du RGPD énumère limitativement les hypothèses dans lesquelles le droit à l'effacement ne s'applique pas, dans la mesure où le traitement reste nécessaire :

• à l'exercice du droit à la liberté d'expression et d'information ;
• au respect d'une obligation légale qui requiert le traitement, prévue par le droit de l'Union ou de l'État membre, ou pour exécuter une mission d'intérêt public ou relevant de l'exercice de l'autorité publique ;
• pour des motifs d'intérêt public dans le domaine de la santé publique conformément à l'article 9 paragraphes 2 i) et 3 ;
• à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l'article 89 paragraphe 1 ;
• à la constatation, à l'exercice ou à la défense de droits en justice.

Ces exceptions reflètent l'équilibre entre le droit à l'effacement et d'autres impératifs juridiques d'intérêt général ou privé. La pratique des contrôles CNIL examine strictement la caractérisation de ces exceptions par le responsable de traitement, qui doit produire la preuve concrète de l'obligation invoquée.

L'exception de liberté d'expression mérite attention particulière en matière de presse. La jurisprudence reconnaît la primauté de la liberté de la presse pour les informations d'actualité ou d'intérêt public, tout en imposant un contrôle de proportionnalité tenant compte du caractère public de la personne, de la nature de l'information, du temps écoulé et du contexte de publication.

L'effacement effectif et la propagation aux destinataires

L'article 17 paragraphe 2 du RGPD pose une obligation spécifique de propagation de l'effacement aux destinataires des données :

« Lorsqu'il a rendu publiques les données à caractère personnel et qu'il est tenu de les effacer en vertu du paragraphe 1, le responsable du traitement, compte tenu des technologies disponibles et des coûts de mise en œuvre, prend des mesures raisonnables, y compris d'ordre technique, pour informer les responsables du traitement qui traitent ces données à caractère personnel que la personne concernée a demandé l'effacement par ces responsables du traitement de tout lien vers ces données à caractère personnel, ou de toute copie ou reproduction de celles-ci. »

Cette obligation, parfois qualifiée de droit à l'oubli numérique, impose au responsable de traitement initial une démarche active vers les destinataires connus des données. La pratique distingue typiquement :

• l'effacement chez le responsable initial (suppression de la base de données principale, des sauvegardes accessibles, des copies de travail) ;
• l'information des sous-traitants (article 28 du RGPD) qui doivent à leur tour effacer les données ;
• l'information des destinataires tiers (partenaires commerciaux, plateformes de distribution, organismes de référencement) qui doivent à leur tour effacer ;
• la notification à la personne concernée du périmètre effectif de l'effacement réalisé.

Le caractère raisonnable des mesures à prendre s'apprécie au regard des technologies disponibles et des coûts. Cette flexibilité opérationnelle distingue le droit à l'effacement d'une obligation absolue : le responsable de traitement doit prendre des mesures raisonnables sans pour autant être tenu de garantir l'effacement universel à un coût disproportionné.

L'arrêt Google Spain et le déréférencement

L'arrêt CJUE Google Spain et Google du 13 mai 2014 (C-131/12) constitue la décision fondatrice du droit à l'oubli appliqué aux moteurs de recherche. La Cour a retenu que les moteurs de recherche sont responsables de traitement au sens du RGPD pour l'indexation des pages web et que la personne concernée peut exiger le déréférencement des résultats de recherche associés à son nom, lorsque les informations sont devenues inadéquates, non pertinentes ou excessives par rapport aux finalités du traitement effectué par le moteur.

Cette jurisprudence a engendré une pratique massive de demandes de déréférencement adressées à Google, Bing et autres moteurs. Selon les statistiques publiées par Google, plusieurs millions d'URLs ont été examinées depuis 2014, dont environ la moitié déréférencées et l'autre maintenue. Les critères d'appréciation incluent la nature de l'information (publique ou privée), la qualité de la personne (figure publique ou particulier), l'ancienneté de l'information, et l'intérêt informationnel résiduel pour le public.

L'arrêt CJUE GC, AF, BH, ED du 24 septembre 2019 (C-136/17) a précisé les conditions d'examen pour les données sensibles (catégories particulières au sens de l'article 9 du RGPD) figurant dans les résultats de recherche. La Cour a retenu une présomption de déréférencement pour ces données, sauf si le maintien de l'indexation est strictement nécessaire pour des motifs d'intérêt public liés à la liberté d'expression et d'information.

L'arrêt CJUE Google v. CNIL du 24 septembre 2019 (C-507/17) a précisé la portée géographique du déréférencement : le moteur de recherche n'est pas tenu de déréférencer les résultats sur l'ensemble de ses versions internationales, mais doit garantir le déréférencement effectif sur les versions accessibles depuis l'Union européenne, par toute mesure techniquement proportionnée (filtrage géographique notamment).

Spécificité juridique sur l'articulation avec les obligations légales de conservation

Le droit à l'effacement se heurte fréquemment aux obligations légales de conservation imposées au responsable de traitement par le droit national ou européen. L'article 17 paragraphe 3 b) du RGPD résout cette tension en exonérant le responsable de l'obligation d'effacement lorsque le traitement reste nécessaire au respect d'une obligation légale.

Plusieurs hypothèses caractéristiques d'obligations de conservation s'opposent à l'effacement :

• les obligations comptables et fiscales (conservation des factures pendant dix ans en application du Code de commerce) ;
• les obligations de lutte contre le blanchiment des capitaux (conservation des données d'identification pendant cinq ans après la fin de la relation d'affaires en application du Code monétaire et financier) ;
• les obligations sociales (conservation des données de paie pendant cinquante ans pour la reconstitution des droits à la retraite) ;
• les obligations de garantie sur les produits (conservation des données de vente pendant la durée de garantie légale) ;
• les obligations liées au contentieux (conservation pour la défense en justice pendant les délais de prescription applicables).

La pratique impose alors un archivage intermédiaire des données concernées, plutôt qu'un effacement effectif. Les données sont retirées des bases actives, isolées dans un environnement à accès restreint, et conservées exclusivement pour les finalités légales identifiées. La personne concernée peut être informée de cet archivage et des modalités d'accès résiduel par les autorités habilitées.

L'effacement automatique à l'expiration de la durée de conservation constitue par ailleurs une obligation propre du responsable de traitement au titre du principe de limitation de la conservation (article 5 paragraphe 1 e du RGPD). Cette obligation s'exerce indépendamment de toute demande de la personne concernée et impose la mise en place de procédures automatisées de purge des bases de données.

Le cabinet Aurore Bonavia se charge de vos enjeux en matière de droit à l'effacement

• la mise en place de procédures internes de gestion des demandes d'effacement RGPD ;
• l'analyse juridique des demandes au regard des hypothèses de l'article 17 et des exceptions ;
• la rédaction des réponses motivées en cas de refus ou de limitation de l'effacement ;
• les demandes de déréférencement adressées aux moteurs de recherche et leur défense ;
• les recours devant la CNIL contre les refus de déréférencement par les moteurs ;
• la défense face aux réclamations CNIL relatives au défaut d'effacement ;
• les actions civiles fondées sur l'article 82 du RGPD pour défaut d'effacement caractérisé ;
• la mise en place des purges automatiques conformes aux durées légales de conservation ;
• la rédaction des politiques de durée de conservation et d'archivage intermédiaire.

En savoir plus sur l'accompagnement du cabinet : avocat RGPD.

Sources : Règlement (UE) 2016/679 (RGPD) art. 5, art. 17, art. 89, jurisprudence CJUE 13 mai 2014 (Google Spain C-131/12), 24 septembre 2019 (GC, AF, BH, ED C-136/17), 24 septembre 2019 (Google v. CNIL C-507/17), CNIL guide pratique sur le droit à l'effacement, EDPB Lignes directrices 5/2019 sur les critères du droit à l'oubli pour les moteurs de recherche. Fiche mise à jour le 3 mai 2026.