Article 17 RGPD : le droit à l’effacement expliqué simplement

Temps de lecture : 18 min

Qu’est-ce que l’article 17 du RGPD ? Définition du droit à l’effacement

L’article 17 du RGPD consacre le droit à l’effacement, également appelé droit à l’oubli. Il permet à toute personne concernée d’obtenir du responsable de traitement la suppression de ses données à caractère personnel, dans les meilleurs délais, lorsque l’un des six motifs prévus au paragraphe 1 s’applique. Ce droit n’est toutefois pas absolu : le paragraphe 3 énumère plusieurs exceptions.

Posons les bases avant d’aller plus loin. Beaucoup de lecteurs arrivent sur cette page avec une intuition fausse : celle d’un bouton « supprimer mes données » qui fonctionnerait à tous les coups. La réalité de l’article 17 du RGPD est plus étroite — et, quand on sait la manier, nettement plus efficace. Ce que les chiffres ne disent pas seuls, c’est que ce droit est conditionnel : il s’ouvre si l’un des six motifs du paragraphe 1 est rempli, et se referme dès qu’une exception du paragraphe 3 s’applique.

Définition de l’article 17 en une phrase

En une phrase : l’article 17 du RGPD permet à une personne concernée d’obtenir du responsable de traitement l’effacement de ses données à caractère personnel dans les meilleurs délais, dès lors que l’un des six cas du paragraphe 1 est réuni et qu’aucune des exceptions du paragraphe 3 ne fait obstacle. « Dans les meilleurs délais » : voilà une formule qui irrite les juristes autant qu’elle protège les organisations. Le règlement ne fixe aucun nombre de jours dans l’article 17 lui-même. Il renvoie, par l’article 12 du RGPD, à un délai d’un mois pour répondre à une demande, prolongeable de deux mois pour les demandes complexes et motivées.

Droit à l’effacement et droit à l’oubli : deux mots pour un même droit ?

Les deux expressions désignent le même mécanisme, mais elles ne sont pas interchangeables dans l’usage. Le droit à l’effacement est la terminologie officielle du règlement. Le droit à l’oubli est la dénomination médiatique, héritée de la jurisprudence européenne sur le déréférencement par les moteurs de recherche. Quand un particulier écrit « je veux faire valoir mon droit à l’oubli », il pense presque toujours à un moteur de recherche ; quand un responsable de traitement parle d’effacement, il vise la suppression dans ses propres systèmes. La nuance n’est pas cosmétique : elle détermine à qui adresser la demande.

Où se situe l’article 17 dans l’architecture du RGPD ?

L’article 17 s’inscrit dans le chapitre III du règlement, consacré aux droits de la personne concernée. Il s’articule avec l’article 12 (modalités d’exercice des droits), l’article 19 du RGPD (notification aux destinataires) et le droit d’opposition (article 21). Deux considérants éclairent sa lecture : le considérant 65, qui rappelle que toute personne doit pouvoir obtenir l’effacement de données la concernant, et le considérant 66, qui admet des exceptions notamment pour la liberté d’expression et la recherche. Le manquement est rattaché à l’article 83 §5 b) du RGPD pour le volet sanction.

Reste à savoir dans quelles situations ce droit s’ouvre réellement. C’est là que tout se joue, et c’est précisément ce que la plupart des analyses ratent.

Les 6 cas d’ouverture du droit à l’effacement (article 17 §1)

La plupart des analyses s’arrêtent là et concluent que « le droit s’applique quand on le demande ». C’est faux. Je préfère me tromper avec des données plutôt qu’avoir raison avec des intuitions : les six lettres du paragraphe 1 sont limitatives. Si aucun de ces six cas n’est réuni, le responsable peut légalement refuser.

Cas a) et b) : données devenues inutiles et retrait du consentement

Cas a) : les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées. L’exemple d’école est le fichier de prospection dormant. Un prospect n’a jamais converti, aucune interaction depuis cinq ans, finalité commerciale éteinte : la donnée a perdu son utilité, l’effacement se justifie. Cas b) : le retrait du consentement, lorsque celui-ci constituait la seule base légale. Un client qui retire son accord aux communications marketing alors que l’entreprise ne s’appuie que sur l’article 6 §1 a) — l’effacement s’impose. Je souligne un piège fréquent : si l’organisation dispose d’une autre base, comme l’exécution d’un contrat, le retrait du consentement n’ouvre pas automatiquement la porte.

Cas c) et d) : opposition et traitement illicite

Cas c) : l’opposition fondée au titre de l’article 21. La personne concernée s’oppose à un traitement fondé sur l’intérêt légitime ou à la prospection ; dès lors que l’opposition est fondée, l’effacement suit. Cas d) : le traitement illicite. C’est le cas le plus inconfortable pour les organisations : elles doivent reconnaître, en creux, que la collecte était irrégulière. Un avis publié après une collecte sans information ni base légale tombe typiquement dans cette catégorie. Aucune de ces deux hypothèses ne se règle par une simple case cochée dans un outil.

Cas e) et f) : obligation légale et services de la société de l’information

Cas e) : une obligation légale de suppression prévue par le droit de l’Union ou le droit national. Ici, c’est le droit national qui parle, pas le RGPD directement. Cas f) : les données collectées auprès d’un enfant dans le cadre de l’offre de services de la société de l’information visée à l’article 8 §1. Un compte ouvert par un mineur sans le consentement requis entre dans cette hypothèse. En pratique, ça donne quoi ? Un tableau vaut mieux qu’un long discours.

Lettre du §1	Situation visée	Exemple concret	Texte de référence
a)	Données devenues non nécessaires au regard des finalités	Fichier de prospection dormant depuis cinq ans	Article 6 §1
b)	Retrait du consentement, sans autre base légale	Client qui retire son accord à la newsletter	Article 6 §1 a), article 9 §2 a)
c)	Opposition fondée au titre de l’article 21	Opposition au profilage publicitaire	Article 21 §1 et §2
d)	Traitement illicite	Collecte sans base légale ni information	Article 6, article 13
e)	Obligation légale d’effacement	Décision de justice, délai légal expiré	Droit national
f)	Données collectées auprès d’un enfant	Compte de réseau social ouvert à douze ans	Article 8 §1

• Mes données servent-elles encore à quelque chose ? Si la finalité est éteinte, le cas a) joue.
• Ai-je retiré mon consentement ? Et l’organisation n’avait-elle que cette base ? Cas b).
• Me suis-je opposé à un traitement fondé sur l’intérêt légitime ? Cas c).
• La collecte était-elle irrégulière ? Absence d’information, de base légale : cas d).
• Une loi impose-t-elle la suppression ? Cas e).
• Les données ont-elles été recueillies auprès d’un enfant ? Cas f), article 8 §1.

Autant de motifs qui ouvrent le droit. Mais le règlement a prévu des garde-fous — et c’est souvent là que les demandes échouent.

Les exceptions : quand le droit à l’effacement ne s’applique pas (article 17 §3)

Le paragraphe 3 oppose des exceptions au droit à l’effacement. Autrement dit : ce droit n’est ni absolu ni automatique, il se pèse au cas par cas. Le texte distingue formellement cinq lettres, que l’on regroupe souvent en quatre familles. Attention : ce que je vais écrire va à l’encontre du consensus — beaucoup de guides présentent ces exceptions comme de simples « refus possibles », alors qu’il s’agit en réalité d’obligations de documentation. Un refus non motivé ne tient pas.

Liberté d’expression et droit à l’information

L’article 17 §3 a) réserve le cas de la liberté d’expression et d’information. Un avis publié, un article de presse, un commentaire visé par une demande d’effacement : l’équilibre se fait entre le droit de la personne et le droit du public à l’information. Le responsable ne peut pas opposer un refus sec ; il doit démontrer la mise en balance, au cas par cas.

Obligation légale, intérêt public et santé publique

L’article 17 §3 b) couvre le respect d’une obligation légale, l’exécution d’une mission d’intérêt public ou l’exercice de l’autorité publique. Un établissement financier qui conserve des documents au titre de ses obligations anti-blanchiment ne peut pas les effacer sur simple demande. L’article 17 §3 c) vise les raisons d’intérêt public dans le domaine de la santé publique, au sens de l’article 9 §2 h) et i) et de l’article 9 §3 : un dossier médical ne disparaît pas parce qu’un patient le réclame. C’est précisément là que ça se complique, parce que ces exceptions s’appuient sur d’autres articles du règlement.

Archivage, recherche et défense de droits en justice

L’article 17 §3 d) protège les finalités d’archivage dans l’intérêt public, de recherche scientifique ou historique, ou de statistiques, au sens de l’article 89 §1 — à condition que l’effacement rende impossible ou compromette gravement la réalisation des objectifs. Enfin, l’article 17 §3 e) couvre la défense de droits en justice : la conservation de données pour établir, exercer ou défendre un droit. Un litige prud’homal en cours suspend de fait l’effacement des pièces utiles.

Exception	Fondement	Exemple d’application	Ce que l’entreprise doit documenter
Liberté d’expression et d’information	Article 17 §3 a)	Avis publié, article de presse	La mise en balance entre les deux droits
Obligation légale, mission d’intérêt public, autorité publique	Article 17 §3 b)	Conservation comptable, obligations anti-blanchiment	Le texte légal qui impose la conservation
Santé publique	Article 17 §3 c), article 9 §2 h) et i)	Dossier médical, registre épidémiologique	Le motif d’intérêt public en santé
Archivage, recherche, statistiques	Article 17 §3 d), article 89 §1	Étude de cohorte, archives publiques	La démonstration que l’effacement compromettrait gravement l’objectif
Défense de droits en justice	Article 17 §3 e)	Litige en cours	La procédure engagée et sa durée prévisible

Vous savez désormais quand le droit s’ouvre et quand il se referme. Passons à la mécanique : comment formuler une demande qui aboutit ?

Comment exercer son droit à l’effacement : la procédure pas à pas

Une demande d’effacement RGPD bien rédigée vaut mieux que dix relances. Voici la procédure, étape par étape, telle que je la conseille à un particulier qui n’a ni avocat ni service juridique sous la main.

Étape 1 : identifier le bon destinataire de la demande

Une demande d’effacement ne s’adresse jamais au sous-traitant. Elle vise le responsable de traitement — celui qui détermine les finalités et les moyens. Concrètement, c’est l’organisation avec laquelle vous êtes en relation, pas son prestataire cloud. Où trouver le bon interlocuteur ? Dans la politique de confidentialité, à la rubrique « exercice de vos droits », qui doit mentionner une adresse dédiée, souvent celle du délégué à la protection des données.

Étape 2 : rédiger et envoyer la demande d’effacement

Datez votre courrier, citez l’article 17 §1 et la lettre applicable (a à f), visez les données concernées le plus précisément possible, joignez un élément d’identification, demandez une confirmation écrite et conservez une preuve d’envoi. Le courriel avec accusé de réception ou la lettre recommandée électronique suffisent. Cette demande se rattache aux modalités de l’article 12 du RGPD : le responsable doit répondre dans un délai d’un mois, prolongeable à trois mois pour les dossiers complexes et dûment motivés.

Étape 3 : gérer le refus et saisir la CNIL

En cas de refus, exigez une motivation écrite. Un refus non motivé est attaquable. En cas de silence au-delà du délai, ou de refus que vous estimez infondé, vous pouvez saisir la CNIL par une réclamation en ligne. La voie judiciaire reste ouverte, y compris contre la décision de l’autorité. Vous n’avez pas besoin d’un avocat pour la phase administrative — c’est un point que trop de particuliers ignorent.

• Votre identité complète et vos coordonnées de contact.
• La base juridique invoquée : article 17 §1 et la lettre applicable.
• Les données visées, décrites avec précision (fichier, période, canal).
• La demande explicite d’effacement, formulée sans ambiguïté.
• La date du courrier.
• La preuve d’envoi : accusé de réception ou recommandé.
• La demande de confirmation écrite une fois l’effacement réalisé.
• La mention des recours en cas de refus ou de silence.

Côté particulier, la procédure est claire. Côté entreprise, les obligations sont plus lourdes qu’il n’y paraît.

Article 17 §2 : les obligations du responsable de traitement

Le paragraphe 2 est le plus sous-estimé du texte. Il impose au responsable de traitement, compte tenu des technologies disponibles et du coût de mise en œuvre, de prendre des mesures raisonnables, y compris d’ordre technique, pour informer les autres responsables de traitement qui traitent les données, afin qu’ils effacent eux-mêmes les liens, copies ou réplications.

Effacer « dans les meilleurs délais » : ce que cela implique

« Dans les meilleurs délais » n’autorise pas l’inaction. Cela implique une organisation interne : un circuit de réception, une qualification du motif, une décision, une réponse, un archivage de la preuve. Le coût invoqué ne peut justifier un refus ; il module seulement l’intensité des mesures techniques déployées.

Informer les autres responsables de traitement : portée et limites

L’obligation d’information des autres responsables a une portée réelle : un groupe qui a dupliqué des données dans plusieurs filiales doit relayer la demande. Attention à une confusion fréquente : ce paragraphe ne s’applique pas de la même manière aux fournisseurs de moteurs de recherche, comme la Cour de justice l’a précisé en 2017 dans l’arrêt Manni. Cette obligation se lit avec l’article 19 du RGPD, qui impose de notifier aux destinataires toute rectification ou effacement.

Documenter la demande dans le registre de traitement

Chaque demande doit être tracée : date de réception, demandeur, motif invoqué, décision, date de réponse, preuve. Ce registre n’est pas un luxe. C’est la première pièce qu’un contrôle examinera — et, depuis 2025, le premier point d’observation de l’EDPB.

Le paragraphe 2 pose une question qui revient sans cesse : et les moteurs de recherche, dans tout ça ?

Droit à l’effacement et moteurs de recherche : le déréférencement

Le déréférencement est la déclinaison la plus recherchée du droit à l’effacement, et la moins bien traitée. Rappel du point de départ : selon la Cour de justice de l’Union européenne, l’arrêt C-131/12, dit Google Spain, a consacré le droit au déréférencement par les moteurs de recherche le 13 mai 2014. Cette décision a posé les bases de ce qui deviendra l’article 17 du RGPD.

Ce que le déréférencement permet (et ne permet pas)

Deux choses que l’on confond systématiquement. La suppression à la source retire le contenu du site d’origine. Le déréférencement retire le lien des résultats de recherche : le contenu reste accessible à qui connaît l’adresse, mais il cesse d’apparaître sur le nom de la personne. Le déréférencement ne supprime rien ; il rend invisible. Cette distinction change tout pour qui veut réellement faire disparaître une information.

L’absence d’obligation d’informer le tiers à l’origine de la publication

Nuance technique que peu d’articles relèvent : le paragraphe 2 de l’article 17 n’exige pas du fournisseur d’un moteur de recherche, qui a reçu une demande de retrait, qu’il en informe le tiers à l’origine de la publication. La Cour de justice l’a confirmé dans l’arrêt C-398/15 Manni, du 9 mars 2017. Le site d’origine conserve donc la donnée, sauf demande distincte adressée à son éditeur.

Déréférencement, intérêt public et conservation des données

Le même arrêt Manni rappelle que l’effacement cède lorsque la conservation est nécessaire à l’intérêt public, notamment pour les données d’un registre officiel. Déréférencement ne rime donc pas toujours avec disparition, et l’intérêt public demeure un critère de mise en balance à part entière.

Reste le volet répressif et jurisprudentiel : ce que coûte un refus injustifié, et ce que contrôlent réellement les autorités.

Sanctions, jurisprudence et actualités 2025-2026 du droit à l’effacement

L’article 17 est rattaché à l’amende administrative de l’article 83 §5 b) du RGPD. Un manquement au droit à l’effacement expose donc à la même catégorie d’amendes que les autres violations des droits des personnes concernées — et au risque réputationnel qui les accompagne.

Le régime de sanction : article 83 §5 b) du RGPD

Le règlement fixe un plafond, pas un tarif. Les autorités nationales tiennent compte de la gravité, de la nature, du caractère intentionnel ou non, des mesures prises et de la coopération. Ajoutez à cela le coût de traitement des réclamations, qui n’apparaît jamais dans les communiqués.

Chronologie des arrêts clés sur l’effacement

Cette chronologie manque à presque toutes les pages concurrentes. Elle est pourtant le socle de toute analyse sérieuse : chaque arrêt a déplacé une borne du périmètre.

Arrêt ou texte	Date	Apport principal sur le droit à l’effacement
C-131/12, Google Spain	13 mai 2014	Consacre le droit au déréférencement par les moteurs de recherche
C-141/12 et C-372/12	17 juillet 2014	Précisent la notion de données à caractère personnel et son périmètre
C-398/15, Manni	9 mars 2017	Limite l’effacement au nom de la conservation dans l’intérêt public
C-26/22 et C-64/22	7 décembre 2023	Affinent l’articulation entre effacement et conservation des données
Action coordonnée EDPB	5 mars 2025	Lancement d’un an de contrôles sur le droit à l’effacement
Conclusions EDPB	18 février 2026	Constat sur la mise en œuvre du droit à l’effacement par les responsables

Action coordonnée de l’EDPB : ce que révèlent les contrôles 2025-2026

Voici l’actualité la plus importante et la moins relayée. Selon le Comité européen de la protection des données (EDPB), une action coordonnée EDPB droit à l’effacement d’un an a été lancée le 5 mars 2025. Le volet consacré à la mise en œuvre du droit à l’effacement par les responsables de traitement a été documenté le 18 février 2026. En clair : les autorités ont passé au crible la manière dont les organisations traitent réellement les demandes, pas seulement la manière dont elles les décrivent dans leur politique de confidentialité. Les écarts constatés portent presque toujours sur les mêmes points : délais, motivation des refus, traçabilité.

• Traçabilité : chaque demande, chaque décision, chaque réponse consignée.
• Délais : respect de l’article 12, prolongation motivée uniquement si nécessaire.
• Motivation des refus : exception invoquée, texte de référence, notification écrite.
• Information des sous-traitants : relais effectif de la demande dans la chaîne de traitement.

De tout cela se dégagent des exigences très concrètes — et un modèle utilisable dès demain matin.

Modèle de demande d’effacement et bonnes pratiques pour les entreprises

Structure d’un courrier de demande d’effacement

Voici la trame en cinq blocs que je recommande. Elle fonctionne pour un particulier comme pour un service juridique.

• Bloc 1 — Identité : nom, prénom, coordonnées, élément d’identification.
• Bloc 2 — Fondement : article 17 §1 et la lettre applicable (a à f).
• Bloc 3 — Données visées : fichier, période, canal de collecte, contexte.
• Bloc 4 — Demande explicite : effacement, confirmation écrite, délai rappelé.
• Bloc 5 — Modalités de réponse : adresse de retour, mention des recours.

Bonnes pratiques internes pour les responsables de traitement

Guichet unique, accusé de réception systématique, qualification du motif, réponse motivée, traçabilité complète, articulation avec les obligations de conservation légale. Ces six briques suffisent à couvrir l’essentiel des points contrôlés en 2025 et 2026. Un responsable de traitement qui reçoit une demande demain matin doit pouvoir dire en cinq minutes quel texte invoquer, qui décide et où la trace est conservée.

Articulation avec le droit national (ordonnance du 12 décembre 2018)

L’ordonnance n° 2018-1125 du 12 décembre 2018 a adapté le droit national à l’article 17 du règlement (UE) 2016/679. Elle précise notamment les articulations avec les régimes de conservation propres au droit français. Cette couche nationale explique pourquoi certaines demandes échouent : le RGPD ouvre le droit, mais le droit interne peut imposer la conservation.

Questions fréquentes

Quels sont les cas prévus par l’article 17 du RGPD ?

Six motifs ouvrent le droit : données devenues non nécessaires au regard des finalités, retrait du consentement sans autre base légale, opposition fondée au titre de l’article 21, traitement illicite, obligation légale d’effacement et données collectées auprès d’un enfant dans le cadre de services de la société de l’information (article 8 §1).

Le droit à l’effacement est-il un droit absolu ?

Non. Le paragraphe 3 énumère plusieurs exceptions : liberté d’expression et d’information, obligation légale ou mission d’intérêt public, santé publique, archivage et recherche au sens de l’article 89 §1, et défense de droits en justice. La mise en balance se fait au cas par cas.

Comment faire une demande d’effacement de données personnelles ?

Écrivez au responsable de traitement, citez l’article 17 §1 et la lettre applicable, visez précisément les données, demandez une confirmation écrite et conservez la preuve d’envoi. En cas de refus ou de silence, saisissez la CNIL.

Quel est le délai pour traiter une demande d’effacement ?

L’article 17 impose d’effacer « dans les meilleurs délais ». Les modalités d’exercice des droits et les délais de réponse relèvent de l’article 12 du RGPD : un mois en principe, prolongeable de deux mois pour les demandes complexes et motivées.

Quelles sanctions en cas de non-respect de l’article 17 ?

Le manquement au droit à l’effacement est rattaché à l’amende administrative de l’article 83 §5 b) du RGPD. S’y ajoutent le risque réputationnel et le coût de traitement des réclamations, qui pèsent souvent plus lourd que l’amende elle-même.

Le droit à l’effacement s’applique-t-il aux moteurs de recherche ?

Oui, sous la forme du déréférencement, consacrée par l’arrêt C-131/12 (Google Spain, 13 mai 2014). Le paragraphe 2 n’oblige toutefois pas le moteur à informer le tiers à l’origine de la publication, comme l’a précisé l’arrêt C-398/15 Manni du 9 mars 2017.

Quelle différence entre droit à l’effacement et droit à l’oubli ?

Les deux expressions désignent le même mécanisme de l’article 17. Le « droit à l’oubli » est la dénomination médiatique héritée de la jurisprudence sur le déréférencement ; « effacement » est la terminologie juridique du règlement.

Synthèse : six cas, quatre familles d’exceptions, une obligation de traçabilité

Posons les bases une dernière fois. L’article 17 du règlement général sur la protection des données n’ouvre l’effacement que dans six situations précises, et non à la demande générale de la personne concernée. Le paragraphe 3 oppose des exceptions qui rendent le droit ni absolu ni automatique. Le responsable de traitement doit effacer dans les meilleurs délais et informer les autres responsables concernés, en tenant compte des technologies disponibles et du coût de mise en œuvre. Enfin, les contrôles coordonnés menés par l’EDPB entre 2025 et 2026 font de la traçabilité et de la motivation des réponses un point de vigilance majeur.

Ce que les chiffres ne disent pas seuls, c’est que la conformité à l’article 17 ne se joue pas dans la politique de confidentialité. Elle se joue dans le circuit interne, dans le registre des demandes, dans la réponse motivée envoyée à l’heure. Le texte est court ; son application, elle, se construit.

Si votre organisation reçoit une demande d’effacement demain matin, sauriez-vous dire en moins de cinq minutes quel article invoquer, qui décide, et comment la trace est conservée ?