L'accès, l'effacement et la conservation concernent des questions proches, mais différentes. L'accès permet de comprendre un traitement et d'obtenir ses données personnelles. L'effacement porte sur les données qui doivent être supprimées. La conservation suppose de justifier leur maintien et sa durée. Ce dossier explique ces distinctions à partir de sources publiques européennes et françaises vérifiées le 23 octobre 2026, sans trancher un litige individuel.
Identifier le responsable et le traitement
Le Comité européen de la protection des données distingue l'organisme qui détermine les finalités et les moyens du traitement du sous-traitant qui agit sur ses instructions. Cette différence compte lorsqu'un service utilise un hébergeur, un prestataire de paiement ou une assistance externalisée. La démarche commence par l'identité du responsable et le traitement concerné, plutôt que par une demande identique envoyée à chaque société citée sur le site. Il est possible de préciser le compte, la période et les catégories de données sans communiquer des renseignements supplémentaires inutiles. La première question reste de savoir si l'organisme traite effectivement vos données : son adresse publique ne suffit pas à le démontrer.
L’accès associe données et explication
Le chapitre du RGPD consacré aux droits des personnes, publié par la CNIL, prévoit l'accès aux données personnelles et à des informations sur leur traitement. Ces éléments sont complémentaires : un fichier exporté ne renseigne pas nécessairement les finalités, les destinataires, les critères de conservation ou les droits disponibles. Inversement, une politique de confidentialité générale ne répond pas forcément à la situation d'une personne. Le droit d'accès n'ouvre pas automatiquement un droit à tous les documents commerciaux complets où apparaît un nom. Les droits et libertés des tiers doivent aussi être considérés. Une réponse intelligible peut nécessiter un contexte, un extrait adapté ou l'occultation de renseignements concernant d'autres personnes.
Comprendre le délai et ses conditions
Le Comité européen rappelle qu'une réponse doit intervenir sans retard injustifié et, en principe, dans un délai d'un mois. La complexité ou le nombre de demandes peuvent justifier deux mois supplémentaires, à condition d'en informer la personne et d'expliquer les raisons pendant le premier mois. Trois mois ne constituent donc pas un délai ordinaire automatique. La démarche est généralement gratuite, sous réserve des exceptions prévues pour les demandes manifestement infondées ou excessives. En cas de doute raisonnable sur l'identité, des renseignements complémentaires nécessaires peuvent être demandés. Cela n'autorise pas une collecte systématique de documents sans rapport avec le besoin. Conserver les échanges datés permet de comprendre les étapes du traitement.
L’effacement est un droit assorti de conditions
La réponse dépend des motifs juridiques et des circonstances, non de la seule présence d'un bouton de suppression. Des données devenues inutiles, traitées illicitement ou concernées par le retrait valable d'un consentement peuvent soulever une question d'effacement. Le RGPD prévoit aussi des exceptions, notamment certaines obligations légales, la liberté d'expression, la santé publique, la recherche ou l'archivage sous conditions et la défense de droits en justice. L'organisme doit expliquer l'exception applicable aux données conservées. Une formule générale affirmant que « la loi oblige à tout garder » reste insuffisamment précise. À l'inverse, fermer un compte ne supprime pas nécessairement des pièces conservées légalement pour une finalité distincte et documentée.
Raisonner par finalité de conservation
| Catégorie | Question pertinente | Raccourci à éviter |
|---|---|---|
| Informations du profil actif | Sont-elles encore nécessaires au service déclaré ? | Tout conserver parce que le stockage coûte peu |
| Preuve du consentement | Quelle finalité de conformité et quelle durée ? | Garder toute la navigation comme preuve |
| Pièces liées à un litige | Quel droit ou quelle obligation est concerné ? | Protéger indéfiniment toutes les données |
| Données de recherche ou d’archives | Quelles conditions et garanties sont réunies ? | Présenter la recherche comme une exception sans limites |
La CNIL explique que les durées de conservation dépendent des finalités et des exigences applicables. Ce tableau aide à formuler les questions ; il ne fixe pas une durée légale commune à tous les organismes. Le passage d'une utilisation courante à une archive à accès restreint demande lui aussi une justification. Renommer une base « archives » ne démontre pas, à lui seul, que sa conservation est nécessaire.
Rectifier, limiter et effacer répondent à des besoins distincts
Le problème peut être une donnée inexacte, une utilisation contestée ou une information devenue inutile. Le droit pertinent dépend de la situation et de la base légale. Rectifier une donnée ne suppose pas forcément de détruire l'ensemble d'un historique, et limiter un traitement ne signifie pas automatiquement l'effacer. La présentation des principes du RGPD par la Commission relie exactitude, limitation des finalités, minimisation et limitation de conservation. Ces principes permettent de préciser une demande sans supposer que tous les droits s'appliquent de façon identique à toutes les bases légales. Il est utile de séparer le problème de données d'un éventuel désaccord contractuel sur le service lui-même.
Liste de contrôle pour une demande compréhensible
Identifier le responsable et un canal vérifié ; décrire le traitement et la période ; nommer le droit exercé ; fournir uniquement les renseignements d'identification nécessaires ; conserver la date d'envoi ; noter la réponse et toute prolongation annoncée. Pour la conservation, demander la finalité et la durée applicable, ou les critères utilisés pour la déterminer. Si l'effacement est refusé, demander quelles catégories restent conservées et pour quelles raisons. Cette liste ne garantit pas une décision particulière, mais rend le problème lisible et permet d'apprécier l'explication reçue. Ne pas joindre de mots de passe, d'identifiants complets de paiement ou de documents étrangers à la vérification d'identité nécessaire.
- Identifier le responsable et le traitement.
- Noter les dates de demande et de réponse.
- Demander la finalité des catégories conservées.
- Écarter les justificatifs d’identité inutiles.
Analyser le refus avant de choisir un recours
Une réponse négative doit expliquer les raisons et les voies de recours auprès d'une autorité de contrôle ou d'une juridiction. Comparer cette réponse à la demande concrète : distingue-t-elle les données supprimées, celles qui n'ont jamais été détenues et celles conservées au titre d'une exception ? Expose-t-elle une limite légale précise ou renvoie-t-elle simplement à une politique générale ? L'autorité de protection des données contrôle le respect de ce droit ; elle n'est pas automatiquement compétente pour chaque remboursement ou litige de contrat. Lorsque plusieurs problèmes coexistent, les présenter séparément aide chaque institution à examiner les faits qui relèvent de sa mission. Ce dossier ne détermine pas la compétence dans un cas transfrontalier individuel.
Questions fréquentes
Fermer un compte efface-t-il toutes les informations ?
Pas nécessairement. Des catégories distinctes peuvent répondre à des finalités et obligations différentes, que le responsable doit expliquer.
Le délai de réponse est-il toujours de trois mois ?
Non. Le délai ordinaire est d’un mois ; une prolongation justifiée exige une information motivée pendant ce premier mois.
Une politique de confidentialité suffit-elle pour répondre à un accès ?
Non. Elle décrit généralement le traitement, tandis que la réponse doit concerner les données de la personne et les informations pertinentes.
Sources et vérification
- Handling individual rights requests — European Data Protection Board — 2026-10-23
- GDPR Chapter III: rights of the data subject — CNIL / EU legislative text — 2026-10-23
- Determining personal-data retention periods — CNIL — 2026-10-23
- Principles of personal-data processing — European Commission — 2026-10-23