Droit à la limitation : Définition juridique et Applications

Le droit à la limitation du traitement désigne, au sens de l'article 18 du Règlement (UE) 2016/679 (RGPD), la prérogative reconnue à toute personne concernée d'obtenir du responsable de traitement la suspension temporaire du traitement de ses données personnelles dans plusieurs hypothèses limitativement énumérées. Ce droit constitue un mécanisme intermédiaire entre le maintien du traitement et l'effacement définitif, permettant de préserver les intérêts des parties pendant la durée nécessaire à la résolution d'un différend.

L'enjeu pratique du droit à la limitation est central dans la gestion des contentieux RGPD. Il offre à la personne concernée une protection conservatoire lorsque la légitimité du traitement est contestée, sans pour autant obtenir un effacement définitif qui pourrait être prématuré. Pour le responsable de traitement, le droit à la limitation impose la mise en place de mécanismes techniques permettant de geler le traitement tout en conservant les données pour la résolution du différend.

L'article 18 du RGPD organise ce droit autour de quatre hypothèses caractéristiques, chacune répondant à une situation particulière de tension entre le titulaire et le responsable de traitement. La pratique impose une analyse fine de la qualification de chaque demande pour identifier l'hypothèse applicable et les conséquences opérationnelles correspondantes.

Vous souhaitez exercer ou défendre une demande de limitation ? Le Cabinet Aurore Bonavia accompagne les organisations dans la gestion des demandes de limitation RGPD. → Voir l'accompagnement en droit du numérique

Les quatre hypothèses du droit à la limitation

L'article 18 paragraphe 1 du RGPD énumère les quatre hypothèses ouvrant le droit à la limitation :

« La personne concernée a le droit d'obtenir du responsable du traitement la limitation du traitement lorsque l'un des éléments suivants s'applique : a) l'exactitude des données à caractère personnel est contestée par la personne concernée, pendant une durée permettant au responsable du traitement de vérifier l'exactitude des données ; b) le traitement est illicite et la personne concernée s'oppose à leur effacement et exige à la place la limitation de leur utilisation ; c) le responsable du traitement n'a plus besoin des données à caractère personnel aux fins du traitement mais celles-ci sont encore nécessaires à la personne concernée pour la constatation, l'exercice ou la défense de droits en justice ; d) la personne concernée s'est opposée au traitement en vertu de l'article 21, paragraphe 1, pendant la vérification portant sur le point de savoir si les motifs légitimes poursuivis par le responsable du traitement prévalent sur ceux de la personne concernée. »

Chaque hypothèse répond à une situation juridique spécifique :

• l'hypothèse a) correspond à la contestation de l'exactitude des données pendant la durée nécessaire à la vérification ; la limitation protège la personne contre l'usage de données potentiellement erronées pendant l'instruction de sa demande de rectification ;
• l'hypothèse b) permet à la personne concernée de conserver les données d'un traitement illicite plutôt que d'en obtenir l'effacement immédiat ; cette option peut être pertinente lorsque les données conservées peuvent fonder des actions ultérieures (preuve d'un manquement, élément probatoire dans un contentieux) ;
• l'hypothèse c) organise la conservation des données dont le responsable n'a plus besoin mais qui restent utiles à la personne concernée pour la défense de ses droits ; cette hypothèse fait basculer la finalité du traitement de la finalité initiale du responsable vers la conservation probatoire au profit de la personne ;
• l'hypothèse d) suspend le traitement pendant l'analyse de l'opposition formée au titre de l'article 21 paragraphe 1, dans l'attente de la décision sur la prévalence des motifs légitimes du responsable.

Les effets pratiques de la limitation

L'article 18 paragraphe 2 du RGPD précise les effets pratiques de la limitation :

« Lorsque le traitement a été limité en vertu du paragraphe 1, ces données à caractère personnel ne peuvent, à l'exception de la conservation, être traitées qu'avec le consentement de la personne concernée, ou pour la constatation, l'exercice ou la défense de droits en justice, ou pour la protection des droits d'une autre personne physique ou morale, ou encore pour des motifs importants d'intérêt public de l'Union ou d'un État membre. »

La limitation produit ainsi un gel quasi-total du traitement, avec quelques exceptions limitatives :

• la conservation des données reste autorisée, ce qui maintient les données accessibles pour les besoins futurs ;
• le consentement de la personne concernée peut lever ponctuellement la limitation pour des opérations spécifiques ;
• la constatation, l'exercice ou la défense de droits en justice justifie la levée de la limitation pour les besoins d'une procédure ;
• la protection des droits d'autrui ou les motifs importants d'intérêt public peuvent également justifier la levée.

La pratique opérationnelle impose plusieurs aménagements :

• l'identification technique des données limitées dans les systèmes d'information (marqueur dédié, isolation dans une base spécifique, restriction des accès) ;
• la traçabilité des limitations en cours pour les communications aux utilisateurs internes et aux sous-traitants concernés ;
• la gestion des fins de limitation lorsque les conditions évoluent (rectification effectuée, opposition tranchée, contentieux résolu) ;
• la documentation des décisions de limitation pour l'accountability au titre de l'article 5 paragraphe 2 du RGPD.

La propagation de la limitation aux destinataires

L'article 19 du RGPD impose une obligation de propagation des limitations aux destinataires des données :

« Le responsable du traitement notifie à chaque destinataire auquel les données à caractère personnel ont été communiquées toute rectification ou tout effacement de données à caractère personnel ou toute limitation du traitement effectué conformément à l'article 16, à l'article 17, paragraphe 1, et à l'article 18, à moins qu'une telle communication se révèle impossible ou exige des efforts disproportionnés. »

Cette obligation impose au responsable initial une démarche active vers les destinataires connus des données concernées. La pratique distingue typiquement :

• la notification aux sous-traitants au sens de l'article 28 du RGPD, qui doivent appliquer la limitation dans leurs traitements ;
• l'information des destinataires tiers (partenaires commerciaux, autres responsables de traitement) qui doivent à leur tour limiter leurs traitements ;
• la communication à la personne concernée du périmètre effectif de la propagation, si elle en fait la demande.

L'exception des efforts disproportionnés s'apprécie strictement. Le simple coût technique de la propagation ne suffit pas à exonérer le responsable, sauf circonstances exceptionnelles documentées. Les pratiques de gestion centralisée des consentements et des oppositions (Consent Management Platforms) facilitent cette propagation et constituent un standard opérationnel pour les responsables de traitement gérant des écosystèmes complexes.

L'information préalable de la levée de limitation

L'article 18 paragraphe 3 du RGPD impose au responsable une information préalable de la personne concernée avant la levée de la limitation :

« Une personne concernée qui a obtenu la limitation du traitement en vertu du paragraphe 1 est informée par le responsable du traitement avant que la limitation du traitement ne soit levée. »

Cette obligation garantit la prévisibilité pour la personne concernée et lui permet d'engager le cas échéant les actions complémentaires (recours, réclamation, action judiciaire) avant le redémarrage effectif du traitement. La pratique impose un délai raisonnable entre l'information et la levée effective, généralement de quelques jours à quelques semaines selon la complexité du dossier.

L'information préalable doit :

• identifier la limitation concernée (date, motif initial, données visées) ;
• expliquer les motifs de la levée (résolution du différend, conclusion de la vérification, écoulement de la durée prévue) ;
• rappeler les droits résiduels de la personne concernée (opposition, effacement, réclamation auprès de l'autorité de contrôle) ;
• préciser la date prévue pour la levée effective de la limitation.

Spécificité juridique sur l'articulation avec les autres droits

Le droit à la limitation s'articule étroitement avec les autres droits RGPD dans la pratique des contentieux :

• avec le droit à la rectification (article 16) : la limitation pendant la vérification de l'exactitude est l'hypothèse la plus fréquente d'application de l'article 18 paragraphe 1 a) ;
• avec le droit à l'effacement (article 17) : la personne concernée peut préférer la limitation à l'effacement pour conserver les données comme preuves d'un traitement illicite ;
• avec le droit d'opposition (article 21) : la limitation pendant l'analyse des intérêts en présence permet de protéger la personne pendant l'instruction ;
• avec le droit d'accès (article 15) : la limitation peut faire l'objet d'une demande spécifique formulée à l'occasion de la vérification de l'exactitude des données accessibles.

L'EDPB a précisé dans ses Lignes directrices sur les droits des personnes que la limitation ne doit pas être utilisée comme un substitut systématique à l'effacement, mais comme une mesure intermédiaire adaptée aux situations de différend en cours. Le responsable de traitement ne peut pas imposer la limitation à la personne qui demande l'effacement, sauf dans les hypothèses précises où l'effacement n'est pas applicable au titre de l'article 17 paragraphe 3.

L'article 83 paragraphe 5 b) du RGPD inscrit le manquement aux droits des personnes (articles 12 à 22) dans la deuxième catégorie de sanctions administratives, dont le plafond atteint 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial total. Cette qualification reflète l'importance accordée par le règlement aux droits opposables au responsable de traitement, dont le droit à la limitation fait partie intégrante.

Le cabinet Aurore Bonavia se charge de vos enjeux en matière de droit à la limitation

• la mise en place de procédures internes de gestion des demandes de limitation ;
• la rédaction des canaux de contact dédiés et des modèles de réponse types ;
• l'analyse juridique des demandes pour qualification au regard des quatre hypothèses ;
• la mise en place des dispositifs techniques de gel temporaire dans les systèmes d'information ;
• la cartographie des destinataires et la mise en place des procédures de propagation ;
• la défense face aux réclamations CNIL relatives au défaut de limitation ;
• l'accompagnement des personnes concernées souhaitant exercer leur droit à la limitation ;
• l'articulation entre limitation, rectification, effacement et opposition dans les contentieux complexes ;
• la formation des équipes opérationnelles à l'identification et au traitement des demandes.

En savoir plus sur l'accompagnement du cabinet : avocat RGPD.

Sources : Règlement (UE) 2016/679 (RGPD) art. 5, art. 12, art. 18, art. 19, art. 21, art. 83, EDPB Lignes directrices sur les droits des personnes, CNIL guide pratique sur le droit à la limitation, jurisprudence CJUE et nationale sur les droits des personnes concernées. Fiche mise à jour le 3 mai 2026.