En 2025, le Comité européen de la protection des données (CEPD) a consacré son action coordonnée annuelle au droit à l’effacement prévu à l’article 17 du RGPD. En France, la CNIL a contrôlé six organismes de secteurs et de tailles variés, certains sélectionnés à la suite de plaintes. Le bilan publié offre une photographie précise des forces et fragilités persistantes dans la mise en œuvre de ce droit.
Un droit globalement intégré, mais imparfaitement opérationnalisé
Dans la majorité des cas, les organismes prennent en compte les demandes d’effacement et savent mobiliser les exceptions légales (obligation de conservation, défense en justice, liberté d’expression…). Le cadre juridique est identifié et compris. En revanche, le bilan met en évidence des insuffisances organisationnelles : procédures peu formalisées, circuits de validation flous, absence de traçabilité complète — autant de faiblesses qui fragilisent l’accountability exigée par l’article 5 §2.
Le point noir technique : sauvegardes et suppression effective
La CNIL relève que les données supprimées en base active peuvent subsister dans des sauvegardes, que les procédures de purge ne sont pas toujours documentées, et que les restaurations peuvent réintroduire des données censées être effacées. L’autorité n’exige pas une impossibilité technique absolue, mais une politique documentée garantissant l’inaccessibilité opérationnelle des données effacées, l’absence de réactivation injustifiée et une purge conforme aux cycles de conservation.
Qualité de la réponse aux personnes
Certaines lacunes portent sur la motivation insuffisante des refus, l’absence de référence explicite aux exceptions de l’article 17 §3 et une information incomplète sur les voies de recours. Le respect du droit à l’effacement ne se limite donc pas à la suppression : il inclut la qualité juridique de la décision notifiée.
Des écarts selon la maturité des organisations
Le bilan met en évidence une corrélation entre maturité organisationnelle et conformité : les structures disposant d’un DPO identifié et d’un service juridique structuré présentent des procédures écrites et une meilleure documentation, là où les organismes plus petits peinent à formaliser leurs processus. À l’issue des contrôles, la CNIL a prononcé deux mises en demeure.
Une convergence européenne des constats
Le rapport coordonné au niveau du CEPD montre que les constats français ne sont pas isolés : difficulté d’articulation entre droit à l’effacement et obligations de conservation, insuffisances procédurales, gestion imparfaite des environnements techniques complexes. Il ne s’agit pas d’anomalies ponctuelles, mais de défis structurels de mise en conformité au sein de l’Union.
Source : CNIL — Droit à l’effacement : bilan de l’action européenne.