Droit à l’oubli sous le RGPD : ce que les entreprises devront impérativement respecter en 2026

Le droit à l’oubli n’est plus une notion abstraite réservée aux juristes spécialisés. Depuis l’arrêt Google Spain de 2014, puis sa consécration dans le RGPD, ce droit fondamental oblige les entreprises à agir concrètement lorsqu’une personne demande la suppression de ses données personnelles. En 2026, la CNIL a intensifié ses contrôles, et les sanctions tombent aussi bien sur les grandes structures que sur les PME qui pensaient passer sous les radars. Ce que beaucoup de dirigeants ignorent encore, c’est que le droit à l’oubli ne se résume pas à appuyer sur « supprimer » dans une base de données. Il implique des procédures précises, des délais contraignants, une obligation de notification envers les tiers, et une capacité à justifier tout refus d’effacement. Une PME industrielle qui gère les données de ses clients, fournisseurs ou anciens salariés est pleinement concernée. Ignorer ces obligations expose l’entreprise à des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel. Ce texte détaille les obligations concrètes qui s’imposent aux entreprises, section par section, sans détour.

• Le droit à l’effacement est codifié à l’article 17 du RGPD : toute entreprise est concernée, quelle que soit sa taille.
• Le délai de réponse est d’un mois maximum après réception d’une demande d’effacement.
• L’effacement ne se limite pas à la base principale : tous les sous-traitants et destinataires doivent être notifiés.
• Des exceptions existent, mais elles doivent être justifiées par écrit et communiquées à la personne concernée.
• La CNIL a renforcé ses priorités de contrôle sur le respect des droits des personnes, dont le droit à l’oubli.
• Une demande d’effacement ne requiert aucune forme spécifique : un email suffit pour déclencher vos obligations.

Qu’est-ce que le droit à l’oubli impose réellement aux entreprises ?

Le droit à l’oubli trouve son origine dans une affaire emblématique : en 2014, la Cour de justice de l’Union européenne a condamné Google dans l’affaire Google Spain, obligeant le moteur de recherche à déréférencer des informations personnelles obsolètes concernant Mario Costeja González. Cette décision a posé les bases d’un principe qui allait être gravé dans le marbre du RGPD quelques années plus tard, à l’article 17.

Ce que cet article impose est clair : les données personnelles doivent être effacées sans délai injustifié lorsque certaines conditions sont réunies. Il ne s’agit pas d’une recommandation, mais d’une obligation légale. Dès lors qu’une personne retire son consentement, que les données ne sont plus nécessaires à leur finalité initiale, ou que le traitement était illicite dès le départ, l’effacement s’impose.

Prenons un exemple concret. Une PME de sous-traitance industrielle conserve les coordonnées d’un ancien client dans son CRM depuis sept ans, alors que la relation commerciale est terminée depuis cinq ans. Si ce client envoie un simple email demandant la suppression de ses données, l’entreprise est légalement tenue d’agir. Elle ne peut pas se contenter de dire « nous allons y réfléchir ».

L’enjeu est également organisationnel. Une PME doit être capable d’identifier où sont stockées les données d’une personne : base CRM, logiciel de facturation, messagerie interne, sauvegardes cloud. Sans cartographie des traitements, répondre à une demande d’effacement dans les temps devient une épreuve. Faites l’inventaire de vos bases de données dès maintenant.

Quels cas déclenchent automatiquement l’obligation d’effacer les données ?

L’article 17 du RGPD identifie plusieurs situations dans lesquelles l’effacement est obligatoire, indépendamment de toute demande de la personne concernée. Ces déclencheurs automatiques sont souvent méconnus des PME, qui attendent passivement une requête avant d’agir.

Premier cas : les données ne sont plus nécessaires à la finalité pour laquelle elles ont été collectées. Si vous avez collecté l’adresse email d’un prospect pour lui envoyer une offre commerciale ponctuelle, et que cette opération est terminée depuis deux ans, vous devez supprimer cette donnée sans attendre. Conserver des données « au cas où » n’est pas une finalité légale.

Deuxième cas : le retrait du consentement. Lorsqu’une personne révoque son accord et qu’aucune autre base légale ne justifie le traitement, l’effacement est immédiat. C’est particulièrement courant dans les campagnes de marketing par email. Un clic sur « se désabonner » ne suffit pas : il faut aussi supprimer les données de contact si aucune autre raison légitime ne permet de les conserver.

Troisième cas : l’opposition au traitement. Si une personne s’est opposée au traitement de ses données et qu’aucun intérêt légitime impérieux ne prévaut, l’effacement s’impose. Ce scénario est fréquent dans les entreprises qui utilisent la base légale de l’intérêt légitime pour leurs opérations commerciales.

Quatrièmement, et c’est souvent oublié : lorsque le traitement lui-même était illicite dès l’origine, toutes les données concernées doivent être purgées. Par exemple, si une entreprise a collecté des données sans base légale valable, elle doit non seulement cesser le traitement mais aussi effacer les données déjà stockées. Identifiez vos bases légales pour chaque traitement en cours.

Quel délai avez-vous pour répondre à une demande d’effacement ?

Le RGPD est précis sur ce point : vous disposez d’un mois à compter de la réception de la demande pour informer la personne des suites données. Ce délai peut être prolongé de deux mois supplémentaires en cas de demandes complexes ou nombreuses, mais vous devez impérativement notifier la personne de cette extension dans le premier mois, en expliquant les raisons du délai.

Ce délai d’un mois court dès réception de la demande, quelle que soit la forme de celle-ci. Un email envoyé un vendredi soir déclenche le compteur. Une demande orale lors d’un appel téléphonique, si elle est clairement formulée, peut également être considérée comme valide. Il n’existe aucune forme obligatoire pour une demande d’effacement.

Là où les PME se trouvent souvent dépassées, c’est lorsque la demande arrive par un canal non surveillé : une adresse email générique, le formulaire de contact du site web, voire un commentaire sur les réseaux sociaux. Sans procédure interne claire, la demande peut rester sans réponse, ce qui expose directement l’entreprise à une plainte auprès de la CNIL.

La CNIL peut ensuite mener un contrôle, demander à consulter vos journaux de traitement, et vérifier que vous avez bien agi dans les délais. Mettez en place un registre des demandes d’exercice de droits : date de réception, nature de la demande, actions menées, date de réponse. Ce document peut faire la différence lors d’un audit. Pour aller plus loin sur les procédures pratiques, le guide pratique sur le droit à l’oubli et le déréférencement offre des éclairages utiles sur les démarches concrètes à mettre en œuvre.

Comment l’effacement doit-il être réalisé techniquement ?

Le RGPD ne prescrit pas de méthode technique précise pour l’effacement des données. Ce qui compte, c’est le résultat : après l’opération, il ne doit plus être possible d’identifier la personne concernée sans effort disproportionné. Cette formulation laisse une marge d’appréciation, mais elle ne signifie pas que tout est permis.

Concrètement, deux approches sont acceptées. La destruction physique du support de stockage (disque dur, serveur) garantit l’effacement définitif. L’écrasement des données à l’aide d’un logiciel spécialisé, qui réécrit l’espace mémoire avec des données aléatoires, est également considéré comme suffisant. En revanche, déplacer un fichier dans la corbeille sans le vider, ou archiver un dossier avec une mention « ne plus utiliser », ne constitue pas un effacement conforme.

Un cas pratique : une PME de services reçoit une demande d’effacement concernant un ancien salarié. Ses données figurent dans le SIRH, dans le logiciel de paie, dans la messagerie interne, dans les archives des projets et dans les sauvegardes cloud. L’effacement doit être réalisé dans chacun de ces systèmes, y compris les sauvegardes, sauf si des obligations légales de conservation s’appliquent (fiches de paie, par exemple).

Les sauvegardes posent un problème particulier. Il est souvent techniquement difficile de supprimer une donnée précise dans une sauvegarde chiffrée. Dans ce cas, une documentation claire de la demande d’effacement et une purge lors du prochain cycle de suppression des sauvegardes peuvent être acceptables, à condition que les données ne soient pas restaurées entre-temps. Documentez chaque étape de l’opération d’effacement pour pouvoir justifier votre démarche.

Que se passe-t-il quand les données ont été transmises à des tiers ?

C’est l’une des obligations les plus contraignantes et les moins bien maîtrisées par les PME. L’article 17 paragraphe 2 du RGPD précise que si le responsable de traitement a rendu des données publiques ou les a transmises à d’autres entités, il doit informer ces tiers de l’obligation d’effacement. Il ne peut pas se contenter d’effacer sa propre copie et considérer que son travail est terminé.

Imaginez une PME qui utilise un prestataire de routage email pour ses campagnes marketing, un CRM en mode SaaS hébergé à l’étranger, et un cabinet comptable externe qui accède aux données de facturation. Si un client demande l’effacement de ses données, ces trois sous-traitants doivent également être notifiés et agir en conséquence. L’article 19 du RGPD renforce cette obligation en imposant au responsable de traitement d’informer tous les destinataires de toute opération d’effacement.

Cette chaîne de responsabilité implique que vos contrats avec les sous-traitants incluent des clauses sur la gestion des demandes d’effacement. Un Data Processing Agreement (DPA) bien rédigé doit prévoir les délais et modalités d’effacement chez le sous-traitant. Sans cette clause, vous restez responsable des données détenues par des tiers que vous ne contrôlez pas directement.

La question de la « propagation » de l’effacement est particulièrement délicate pour les données rendues publiques, par exemple via un annuaire professionnel, un portail client ou des publications sur les réseaux sociaux d’entreprise. Dans ce cas, vous devez prendre des mesures raisonnables pour notifier chaque plateforme ou moteur de recherche concerné. Pour comprendre comment structurer vos obligations dans ce domaine, les ressources disponibles sur les obligations liées au droit à l’oubli constituent un point de départ solide. Révisez vos DPA avec tous vos sous-traitants et vérifiez que des procédures d’effacement y sont explicitement prévues.

Dans quels cas pouvez-vous légalement refuser d’effacer les données ?

Le droit à l’effacement n’est pas absolu. Le RGPD prévoit des exceptions précises, et il est indispensable de les connaître pour éviter deux erreurs symétriques : effacer des données que vous étiez légalement obligé de conserver, ou refuser un effacement sans justification valable.

La première exception concerne les obligations légales de conservation. En France, les bulletins de paie doivent être conservés pendant cinq ans, les documents comptables pendant dix ans, les documents fiscaux pendant six ans. Si un ancien salarié demande l’effacement de toutes ses données, vous pouvez conserver les pièces soumises à ces obligations légales, tout en supprimant les données non couvertes (adresse personnelle devenue inutile, préférences de contact, etc.).

Deuxième exception : la défense de droits en justice. Si une procédure judiciaire est en cours ou prévisible impliquant la personne concernée, vous pouvez conserver les données nécessaires à votre défense. Cette exception doit être interprétée strictement : vous ne pouvez pas conserver l’intégralité d’un dossier client sous prétexte d’un éventuel litige hypothétique.

Troisième exception : les finalités de recherche scientifique, historique ou statistique, ainsi que l’archivage dans l’intérêt public. Ces exceptions s’appliquent rarement aux PME industrielles ou de services, mais peuvent concerner des organisations du secteur de la santé ou de la recherche.

Enfin, la liberté d’expression et d’information peut primer sur le droit à l’effacement dans certains contextes journalistiques ou d’intérêt général. Dans tous les cas de refus, vous devez informer la personne par écrit dans le délai d’un mois, en expliquant clairement la raison du refus et en l’informant de son droit de déposer une plainte auprès de la CNIL. Un refus non motivé constitue une violation du RGPD en lui-même.

Situation	Effacement obligatoire ?	Exception applicable ?
Données d’un ancien client sans relation commerciale depuis plus de 3 ans	Oui	Non, sauf litige en cours
Bulletins de paie d’un ex-salarié	Non	Oui – obligation légale de conservation (5 ans)
Données collectées sans base légale valable	Oui, immédiatement	Non
Données d’un prospect ayant retiré son consentement	Oui	Non, sauf obligation légale parallèle
Données nécessaires à une procédure judiciaire en cours	Non	Oui – défense de droits en justice
Données dans une sauvegarde active non restaurée	Oui (cycle suivant)	Tolérance documentée si non restaurées

Comment la CNIL contrôle-t-elle le respect du droit à l’oubli en 2026 ?

La CNIL a significativement renforcé son activité de contrôle ces dernières années. Les PME ne sont plus à l’abri : plusieurs sanctions prononcées récemment concernaient des entreprises de moins de 250 salariés. La Commission nationale de l’informatique et des libertés dispose de plusieurs leviers pour vérifier que le droit à l’effacement est effectivement respecté.

Les contrôles peuvent être déclenchés par une plainte d’un particulier, mais aussi de manière proactive, sur la base des priorités annuelles de la CNIL. En 2026, le respect des droits des personnes — dont le droit à l’effacement — figure explicitement parmi les axes de contrôle prioritaires. Les entreprises actives dans le secteur du marketing direct, de la gestion des ressources humaines et du commerce en ligne sont particulièrement surveillées. Pour suivre les priorités actuelles de la CNIL, le point sur les priorités CNIL en matière de conformité constitue une lecture utile pour les responsables administratifs.

Lors d’un contrôle, les inspecteurs de la CNIL peuvent demander à consulter votre registre des traitements, vos procédures internes de gestion des droits, vos journaux de demandes d’effacement et les preuves des actions menées. L’absence de traçabilité est souvent plus sanctionnée que l’imperfection de la procédure elle-même. Une entreprise qui a agi de bonne foi mais n’en a pas conservé la preuve se retrouve dans une position défavorable.

Les sanctions peuvent aller jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel pour les violations les plus graves. Pour les PME, les amendes restent proportionnées, mais elles s’accompagnent souvent d’injonctions de mise en conformité sous astreinte. Nommez un référent interne chargé de centraliser et traiter les demandes d’exercice de droits, et formez-le sur les délais et obligations applicables.

Quelles procédures internes mettre en place pour gérer les demandes d’effacement ?

La gestion des demandes d’effacement ne peut pas reposer sur la bonne volonté d’un collaborateur qui « s’en occupera dès qu’il aura le temps ». Elle nécessite une procédure formalisée, connue de l’ensemble des équipes, et activée dès réception de toute demande, quelle que soit sa forme.

Voici les étapes clés d’une procédure efficace :

• Réception et horodatage de la demande : enregistrez immédiatement la date de réception, le canal utilisé et l’identité déclarée du demandeur.
• Vérification de l’identité : vous pouvez demander un justificatif si des doutes existent, sans exiger de forme spécifique.
• Analyse des conditions d’effacement : vérifiez si une exception s’applique (obligation légale, litige en cours, etc.).
• Identification de tous les systèmes concernés : CRM, ERP, messagerie, sauvegardes, sous-traitants.
• Exécution de l’effacement et notification des tiers si des données ont été transmises.
• Réponse écrite à la personne dans le délai d’un mois, confirmant l’effacement ou justifiant le refus.
• Archivage de la procédure complète dans votre registre des demandes de droits.

Cette procédure doit être documentée dans une politique interne accessible à tous les collaborateurs susceptibles de recevoir une demande : service client, RH, direction, comptabilité. Une formation annuelle sur les droits des personnes est une pratique recommandée pour maintenir la vigilance des équipes.

Pour les PME qui souhaitent structurer leur approche globale de la conformité, les ressources disponibles sur le guide de conformité RGPD pour les entreprises offrent un cadre pratique pour construire des procédures solides et auditables. De même, les détails sur le droit à l’effacement et ses implications pratiques permettent d’affiner la compréhension des obligations. Testez votre procédure avec un cas fictif en interne : simulez une demande d’effacement et mesurez le temps nécessaire pour y répondre de manière conforme.

Une simple demande par email suffit-elle pour déclencher l’obligation d’effacement ?

Oui. Le RGPD n’impose aucune forme particulière pour une demande d’effacement. Un email, un courrier postal ou même une demande orale clairement formulée suffisent à déclencher vos obligations. Vous pouvez demander à vérifier l’identité du demandeur, mais vous ne pouvez pas exiger un formulaire spécifique. Le délai d’un mois court dès réception de la demande, quelle que soit la forme.

Pouvez-vous refuser d’effacer les données d’un ancien salarié ?

Partiellement. Certaines données doivent être conservées en vertu d’obligations légales : les bulletins de paie pendant cinq ans, les documents comptables pendant dix ans. En revanche, les données qui ne relèvent d’aucune obligation de conservation (coordonnées personnelles, préférences de contact) doivent être supprimées. Vous devez informer l’ancien salarié par écrit des données conservées et des raisons qui le justifient.

Que risque une PME qui ne respecte pas une demande d’effacement ?

Une personne dont la demande est ignorée peut déposer une plainte auprès de la CNIL. Celle-ci peut mener un contrôle et prononcer une sanction proportionnée à la taille de l’entreprise et à la gravité du manquement. Les sanctions peuvent inclure une amende, une injonction de mise en conformité sous astreinte, et une publicité de la décision. Pour les violations graves, l’amende peut atteindre 4 % du chiffre d’affaires annuel mondial.

Les sauvegardes doivent-elles aussi être purgées lors d’un effacement ?

Oui, en principe. Les données doivent être supprimées de tous les systèmes, y compris les sauvegardes. En pratique, si la suppression immédiate dans une sauvegarde chiffrée est techniquement très complexe, une tolérance peut s’appliquer à condition que les données ne soient jamais restaurées et que l’effacement soit réalisé au prochain cycle de purge des sauvegardes. Cette approche doit être documentée.

Faut-il informer les sous-traitants lors d’un effacement ?

Absolument. L’article 17(2) du RGPD oblige le responsable de traitement à notifier tous les tiers auxquels les données ont été transmises, afin qu’ils procèdent également à l’effacement. Vos contrats avec les sous-traitants doivent inclure des clauses précisant les délais et modalités d’effacement. Sans cette organisation, vous restez juridiquement responsable des données encore détenues par vos prestataires.