Limitation du traitement des données : Guide pratique pour répondre efficacement à une demande – Mon Expert RGPD

Un client de votre PME industrielle vous écrit : « Arrêtez d’utiliser mes données le temps de vérifier ce point litigieux, mais ne les supprimez pas. » Cette phrase, en apparence anodine, active un mécanisme juridique précis que beaucoup de directions administratives découvrent au moment où elles y sont confrontées. Le droit à la limitation du traitement occupe une place à part parmi les droits des personnes prévus par le RGPD : ni suppression définitive, ni statu quo, mais un gel temporaire et encadré. Pour une entreprise industrielle qui gère des dossiers clients, des contrats fournisseurs ou des données salariés, cette demande impose une réaction rapide et documentée.

Contrairement au droit à l’effacement ou à la demande d’accès, largement popularisés, la limitation reste méconnue des équipes conformité et des directions financières. Elle repose sur quatre situations précises fixées par l’article 18 du RGPD, et son application technique pose de vraies questions d’architecture des systèmes d’information. Ce guide détaille chaque étape, du repérage de la demande jusqu’à la levée de la limitation, avec des exemples issus du quotidien d’une PME industrielle fictive, Structura Metal, confrontée à une contestation de données par un ancien client.

En bref :

• Le droit à la limitation permet de geler des données personnelles sans les supprimer : elles restent stockées mais ne peuvent plus être exploitées activement.
• Quatre cas seulement ouvrent ce droit : exactitude contestée, traitement illicite sans souhait d’effacement, données utiles à la personne pour un litige, opposition en cours d’examen.
• Pendant le gel, seule la conservation est permise, sauf consentement, défense en justice, protection d’un tiers ou motif d’intérêt public.
• Le délai de réponse est d’un mois, mais le gel doit être appliqué immédiatement en cas de contestation d’exactitude.
• Informer la personne avant toute levée de la limitation est une obligation légale, tout comme notifier les destinataires des données au titre de l’article 19.

Qu’est-ce que le droit à la limitation du traitement des données personnelles ?

L’article 18 du RGPD instaure un droit intermédiaire, souvent mal compris parce qu’il ne correspond ni à une suppression ni à un maintien normal du traitement. La personne concernée obtient que ses données personnelles soient marquées et gelées, sans pour autant disparaître de vos systèmes. L’article 4(3) du texte définit d’ailleurs la limitation comme le marquage de données conservées afin de restreindre leur traitement futur.

Chez Structura Metal, un ancien client avait contesté le montant facturé sur un dossier archivé. Plutôt que de demander l’effacement, il a exigé le gel de ses données le temps qu’une vérification comptable soit menée. Ce cas illustre parfaitement la logique du texte : la personne ne veut pas perdre la trace de ses informations, elle veut simplement empêcher toute exploitation active pendant une période d’incertitude.

La confusion la plus fréquente en entreprise consiste à traiter une demande de limitation comme une demande d’effacement, ou l’inverse. Ce sont deux mécanismes juridiques distincts, avec des conditions et des effets différents. Une réponse mal qualifiée expose votre organisation à une réclamation auprès de la CNIL, qui vérifie systématiquement la cohérence entre la demande initiale et la réponse apportée. Pour une analyse détaillée du texte, consultez le décryptage complet de l’article 18.

Une notion à distinguer de l’effacement et de l’opposition

Le droit à l’effacement supprime les données de façon définitive : elles n’existent plus, nulle part, sauf obligation légale de conservation contraire. La limitation, elle, conserve les données mais bloque leur exploitation, ce qui en fait une solution transitoire plutôt qu’une décision finale.

Le droit d’opposition, quant à lui, vise à arrêter un traitement spécifique de façon durable, notamment en matière de prospection commerciale. La limitation peut d’ailleurs intervenir en soutien d’une opposition, le temps que vous vérifiiez si vos intérêts légitimes prévalent. Cette articulation entre les droits impose une lecture attentive de chaque demande reçue.

Action concrète : formez votre équipe support client à distinguer les trois formulations types (« supprimez », « arrêtez d’utiliser », « je m’oppose à ») pour orienter correctement chaque demande dès sa réception.

Dans quels cas une demande de limitation du traitement s’impose-t-elle ?

Le droit à la limitation n’est pas discrétionnaire : il ne s’applique que dans quatre situations précises énumérées à l’article 18(1) du RGPD. Si la demande d’un client ou d’un salarié ne rentre dans aucun de ces cas, vous pouvez refuser, à condition de motiver votre décision et d’informer la personne de son droit de saisir l’autorité de contrôle.

Cas d’ouverture	Situation typique	Durée du gel
Exactitude contestée	Un client affirme qu’une donnée de son dossier est erronée	Le temps de la vérification interne
Traitement illicite sans effacement souhaité	Absence de base légale valide, mais la personne préfère la conservation	Jusqu’à régularisation de la base légale
Données utiles pour un litige	Vous n’avez plus besoin des données, mais la personne en a besoin pour un contentieux	Jusqu’à la fin de la procédure judiciaire
Opposition en cours d’examen	Un client s’oppose au profilage marketing	Le temps d’évaluer vos motifs légitimes

Dans le cas de Structura Metal, la contestation portait sur un montant facturé, ce qui correspond exactement au premier motif. L’entreprise a dû geler l’ensemble du dossier client, pas uniquement le champ litigieux, car l’article 18 vise la donnée dans son contexte global de traitement.

Le quatrième motif, lié à l’opposition en cours d’examen, concerne particulièrement les entreprises qui font du marketing direct ou du scoring commercial. Un salarié ou un client qui s’oppose à un traitement basé sur l’intérêt légitime déclenche une période de vérification pendant laquelle la limitation s’impose automatiquement, sans attendre votre décision finale sur le fond.

Action concrète : créez une grille de qualification interne listant les quatre motifs, à faire remplir systématiquement par l’agent qui reçoit la demande avant toute transmission au responsable conformité.

Quelles données pouvez-vous encore traiter pendant la limitation ?

Une fois la limitation activée, l’article 18(2) verrouille pratiquement tout usage des données, à l’exception de leur simple conservation. Toute autre opération devient interdite, sauf dans quatre hypothèses précises : le consentement de la personne, la défense de droits en justice, la protection des droits d’un tiers, ou un motif important d’intérêt public de l’Union.

Concrètement, un dossier client sous limitation ne doit plus alimenter vos campagnes marketing, vos scores de solvabilité, vos analyses statistiques ni aucun traitement automatisé. Les données restent en base, marquées, mais totalement gelées du point de vue opérationnel. Cette exigence de sécurité des données impose de repenser les accès techniques, pas seulement les procédures administratives.

Le considérant 67 du règlement propose plusieurs pistes concrètes de mise en œuvre : déplacer temporairement les données vers un système distinct, les rendre indisponibles aux utilisateurs métier, ou retirer temporairement des contenus publiés sur un site web. Le choix dépend entièrement de votre architecture informatique, mais l’objectif reste identique : garantir qu’aucun traitement actif ne s’applique tant que la vérification n’est pas achevée. Pour approfondir les modalités pratiques, la page dédiée de la CNIL détaille les obligations du responsable de traitement.

Les usages formellement interdits pendant le gel

Il faut être explicite sur ce point : envoyer une newsletter commerciale à une adresse limitée constitue une violation du RGPD, même si l’envoi paraît anodin. Il en va de même pour l’inclusion des données dans un reporting statistique ou un partage avec un partenaire commercial.

La prise de décision automatisée pose un risque particulier, notamment dans les systèmes de scoring crédit ou de segmentation client. Un score recalculé à partir de données gelées reviendrait à contourner l’esprit même de la limitation, ce qui expose l’entreprise à un signalement immédiat.

Action concrète : listez tous les workflows automatisés de votre entreprise (emailing, scoring, reporting) et vérifiez lequel devra exclure manuellement les dossiers marqués comme limités.

Comment mettre en œuvre concrètement la limitation dans vos systèmes ?

La théorie juridique se heurte souvent à une réalité technique moins simple. La plupart des systèmes CRM standards n’intègrent pas nativement de statut « limité », ce qui oblige les équipes IT à trouver des solutions alternatives adaptées à leur infrastructure existante.

• Indicateur dans le CRM : ajout d’un champ ou d’une étiquette « limité » visible par tout le personnel accédant au dossier.
• Dossier séparé : déplacement des données vers une table ou un espace à accès restreint, isolé des traitements courants.
• Restriction d’accès : suppression des permissions de modification et de traitement, en ne laissant que la lecture pour le personnel autorisé.
• Blocage système : exclusion automatique du dossier des mailings, rapports et processus automatisés, lorsque l’outil le permet.

Structura Metal a opté pour la première solution, plus rapide à déployer : un champ personnalisé dans son CRM commercial signale désormais tout dossier sous limitation, avec une note explicative visible par les équipes commerciales et comptables. Cette approche, peu coûteuse, convient particulièrement aux PME qui n’ont pas de développement interne dédié à la conformité réglementaire.

Le principal risque technique concerne les bases de données partagées entre plusieurs départements. Une limitation appliquée dans le CRM commercial ne sert à rien si l’équipe marketing peut encore extraire les mêmes données depuis un entrepôt de données interne non synchronisé. Cette faille organisationnelle constitue l’une des causes les plus fréquentes de non-conformité constatée lors des contrôles. Le site Legiscope propose des outils d’automatisation pour propager le gel sur l’ensemble des systèmes connectés plutôt que de le gérer manuellement.

Action concrète : cartographiez tous les systèmes accédant aux mêmes données clients avant de choisir votre méthode de marquage, pour éviter les incohérences entre départements.

Faut-il informer vos sous-traitants et partenaires de la limitation ?

La limitation ne s’arrête pas aux frontières de votre organisation. L’article 19 du RGPD impose de notifier chaque destinataire auquel les données ont été communiquées, qu’il s’agisse de sous-traitants, de partenaires commerciaux ou d’autres responsables de traitement, sauf impossibilité avérée ou effort disproportionné.

Si Structura Metal a transmis les coordonnées de son client à un prestataire de facturation externe ou à un outil de marketing automation, ces derniers doivent être informés du gel pour suspendre à leur tour toute exploitation. Cette coordination entre acteurs constitue souvent le point faible des PME, faute de cartographie des flux de données à jour.

Vos contrats de sous-traitance doivent explicitement prévoir la répercussion de ce type de demande, sous peine de rupture de la chaîne de conformité. Un sous-traitant qui continue d’exploiter des données limitées, faute d’avoir été notifié, engage la responsabilité conjointe du donneur d’ordre et du prestataire. La personne concernée peut d’ailleurs demander la liste complète des destinataires notifiés, ce qui impose une traçabilité rigoureuse de chaque échange.

Pour les entreprises qui découvrent leur statut de sous-traitant dans une chaîne de traitement, cette obligation de répercussion mérite une attention particulière lors de la rédaction des clauses contractuelles avec les donneurs d’ordre, comme le rappelle ce guide sur les obligations du sous-traitant RGPD.

Action concrète : mettez à jour votre registre des destinataires et ajoutez une clause de notification automatique dans vos contrats fournisseurs et prestataires techniques.

Quel délai pour répondre à une demande de limitation du traitement ?

Comme pour l’ensemble des droits des personnes, y compris pour toute demande d’accès, la réponse à une demande de limitation doit intervenir dans un délai d’un mois à compter de sa réception, conformément à l’article 12(3) du RGPD. Ce délai peut être prolongé de deux mois supplémentaires en cas de complexité particulière ou de volume important de demandes, à condition d’en informer la personne dans le mois initial.

Un point mérite une vigilance absolue : le gel effectif des données, dans le cas d’une contestation d’exactitude, doit intervenir immédiatement dès réception de la demande, et non au terme du délai d’un mois. Laisser tourner un traitement contesté pendant toute la durée d’instruction constituerait une violation caractérisée, même si la réponse formelle arrive dans les temps.

Cette distinction entre le délai de réponse administrative et le délai de mise en œuvre technique déstabilise souvent les équipes conformité les moins expérimentées. La transparence envers la personne concernée impose d’ailleurs de préciser clairement, dans votre accusé de réception, la date exacte à laquelle le gel a été appliqué, distincte de la date d’envoi de la réponse officielle.

Pour comparer ce mécanisme avec les autres exercices de droits fréquemment traités par les entreprises, ce guide sur les demandes d’accès et d’effacement en 2026 détaille les modèles de réponse applicables à chaque situation.

Action concrète : intégrez deux dates distinctes dans votre registre des demandes : la date de réception (point de départ du délai d’un mois) et la date d’application effective du gel.

Comment lever la limitation en toute conformité ?

La levée de la limitation n’est jamais automatique ni silencieuse. L’article 18(3) impose d’informer la personne concernée avant toute reprise du traitement, une fois que la vérification ou le litige à l’origine du gel est résolu.

Cette notification préalable doit prendre la forme d’un courriel ou d’un courrier horodaté, avec une justification claire du motif de levée. Reprendre l’exploitation des données sans cette étape constitue une violation distincte de la limitation elle-même, même si le motif initial du gel a bien disparu.

Plusieurs situations déclenchent la fin de la limitation : la résolution du litige sur l’exactitude, l’obtention d’un consentement valide régularisant un traitement initialement illicite, la conclusion de la procédure judiciaire pour laquelle les données étaient conservées, ou l’achèvement de la vérification d’une opposition. Dans chaque cas, la personne doit disposer d’un délai raisonnable pour réagir avant la reprise effective du traitement.

Chez Structura Metal, la vérification comptable a confirmé l’exactitude du montant contesté après trois semaines. L’entreprise a envoyé une notification détaillant les résultats de la vérification, avant de réactiver le dossier dans son CRM commercial, dix jours plus tard. Cette procédure documentée illustre le principe de responsabilité, ou accountability, qui structure l’ensemble du règlement.

Action concrète : rédigez un modèle type de notification de levée, incluant systématiquement le motif de la résolution et un délai minimum de réaction avant reprise du traitement.

Quel modèle de réponse utiliser pour traiter une demande de limitation ?

Une réponse générique qui ne qualifie pas précisément le cas d’ouverture constitue un signal de non-conformité immédiatement repérable en cas de contrôle. Chaque courrier doit adapter le motif retenu, les effets appliqués et la durée prévisible du gel.

La trame suivante peut servir de base, à personnaliser selon votre secteur d’activité et le motif identifié :

Nous accusons réception de votre demande de limitation du traitement de vos données personnelles, formulée le [date], sur le fondement de l’article 18 du RGPD. Après examen, votre demande relève du cas suivant : [contestation de l’exactitude / opposition en cours d’examen / traitement illicite / conservation pour litige]. En conséquence, nous avons procédé au marquage de vos données et suspendu tout traitement actif les concernant, à l’exception de leur conservation, à compter du [date]. Cette limitation restera en vigueur jusqu’à [événement déclencheur de la levée]. Vous serez informé préalablement à toute reprise du traitement, conformément à l’article 18(3) du RGPD, et les destinataires de vos données ont été notifiés sauf impossibilité ou effort disproportionné.

Cette documentation systématique, associée à un registre des demandes traçant chaque étape, protège l’entreprise en cas de réclamation. Le registre des demandes doit mentionner l’identité du demandeur, la date de réception, le canal utilisé, le motif retenu et les données concernées, dès les premières minutes du traitement du dossier. Pour approfondir la méthodologie applicable à l’ensemble des droits, ce guide sur la réponse aux demandes d’exercice de droits propose une approche complémentaire, tout comme cette analyse détaillée de l’article 18.

Action concrète : imprimez ou intégrez ce modèle dans votre outil de gestion des réclamations, avec des champs obligatoires à remplir pour chaque motif d’ouverture avant l’envoi.

Quelle différence entre droit à la limitation et droit à l’effacement ?

Le droit à l’effacement supprime définitivement les données personnelles, tandis que la limitation les gèle temporairement : elles restent conservées mais ne peuvent plus être exploitées activement, le temps d’une vérification ou d’un litige en cours.

Peut-on refuser une demande de limitation du traitement ?

Oui, un refus est possible si la demande ne relève d’aucun des quatre cas prévus par l’article 18(1). Ce refus doit être motivé, notifié dans le délai d’un mois, et accompagné de l’information sur le droit de saisir la CNIL.

Faut-il conserver une trace écrite de la limitation appliquée ?

Oui, la documentation de la demande, sa qualification, la date du gel et les notifications aux destinataires relèvent du principe de responsabilité prévu à l’article 24. Cette traçabilité démontre votre conformité lors d’un contrôle.

La limitation concerne-t-elle également mes sous-traitants et prestataires ?

Oui. Au titre de l’article 19, vous devez notifier la limitation à tous les destinataires des données, y compris vos sous-traitants, sauf impossibilité ou effort disproportionné, ce qui impose de mettre à jour vos contrats de sous-traitance.

Que faire si des données limitées sont traitées par erreur ?

Il s’agit d’une violation potentielle de données. Il faut documenter l’incident, évaluer le risque pour la personne concernée, l’en informer si nécessaire, et notifier l’autorité de contrôle dans les 72 heures en cas de risque élevé.