Comment faire supprimer mes données personnelles sur Internet

↑ Ce conseil fait partie du guide : démarches, recours, remboursement

Comment faire supprimer mes données personnelles sur Internet ?

Écrivez au site d'abord, jamais à Google. Le site a un mois pour effacer vos données : article 17 du RGPD. Le moteur de recherche, lui, retire seulement le lien des résultats affichés sur votre nom : la page reste en ligne. Sans réponse au bout d'un mois, la plainte à la CNIL est gratuite.

1. Notez l'adresse exacte de chaque page.
2. Écrivez au site, par écrit et daté.
3. Comptez un mois de délai légal.
4. Demandez ensuite le déréférencement au moteur.
5. Saisissez la CNIL si rien ne bouge.
6. Gardez une capture de chaque page.

Quatre demandes, quatre effets : ne pas les confondre

C'est la confusion qui fait perdre le plus de temps, et elle revient dans presque tous les appels : « j'ai fait la demande à Google, et la page est là ». Google n'héberge pas la page : il en affiche le lien. Effacer une donnée et retirer un lien sont deux démarches distinctes, avec deux destinataires et deux résultats.

Les quatre demandes, et ce que chacune retire vraiment

La demande	À qui	Ce qu'elle retire	Délai
Droit à l'effacement (article 17 du RGPD)	au site qui publie	la donnée elle-même, sur le site	un mois, trois si la demande est complexe
Droit au déréférencement	au moteur : Google, Bing, Qwant, Yahoo	le lien, sur une recherche faite avec votre nom	un mois, trois si la demande est complexe
« Résultats vous concernant »	à Google	un numéro de téléphone, une adresse postale ou une adresse e-mail visibles dans les résultats	aucun délai annoncé
« Actualiser un résultat de recherche »	à Google	un résultat périmé, quand la page a déjà été corrigée ou retirée	aucun délai annoncé

L'ordre est donc toujours le même : le site d'abord, le moteur ensuite. Effacer à la source règle le problème ; un lien déréférencé laisse la page vivante, indexable ailleurs, archivée, copiable.

Savoir ce qui circule : cinq recherches, toutes gratuites

Les demandes qui échouent ne sont presque jamais refusées pour une raison juridique : elles échouent parce qu'elles ne disent pas quelle page ni quelle donnée. « Supprimez tout ce qui parle de moi » n'est pas une demande traitable. Avant d'écrire quoi que ce soit, on fait donc l'inventaire — dans une fenêtre privée de votre navigateur Internet, déconnecté : connecté, le moteur personnalise l'affichage et vous cache ce que les autres, eux, voient de vous.

• Votre nom entre guillemets, seul puis suivi de votre commune, sur Google et sur Bing. Les deux index ne contiennent pas les mêmes pages, et celui de Bing alimente d'autres moteurs : une page nettoyée chez l'un peut rester chez l'autre.
• Votre numéro de téléphone, dans ses deux écritures : « 0612345678 » et « 06 12 34 56 78 ». C'est ainsi qu'on découvre les sites d'annuaire inversé, qui se comptent par dizaines.
• Votre adresse e-mail, puis sur un service de vérification de fuites : c'est un autre sujet, traité dans la fiche savoir si son adresse mail a fuité.
• Vos photos, par la recherche d'image inversée : mode d'emploi dans la fiche quelqu'un utilise mes photos.
• Votre ancien pseudo, de forum ou de jeu : c'est souvent lui qui relie un compte oublié à votre nom réel.

La demande au site : six éléments et un mois de délai

Le responsable du traitement se trouve dans la politique de confidentialité ou les mentions légales du site : c'est là que figure l'adresse dédiée aux droits des personnes, souvent celle du délégué à la protection des données, le DPO. C'est l'éditeur du site, pas son hébergeur. À défaut, le formulaire de contact ordinaire fait l'affaire ; et si le site n'affiche aucune mention légale, on écrit à son hébergeur, identifié par une recherche whois sur le nom de domaine. Ce qui compte, c'est la trace écrite et sa date.

Reste à choisir le bon droit, car c'est lui qui commande la réponse. L'effacement (article 17) vaut quand la donnée n'a plus lieu d'être : finalités atteintes, publication devenue inutile, ou consentement retiré — si vous aviez accepté la publication, la retirer prive le traitement de sa base. La rectification (article 16) vaut quand l'information est fausse ou périmée : ancienne adresse, fonction que vous n'occupez plus, montant erroné. C'est la nuance que tout le monde rate : demander l'effacement d'une donnée simplement inexacte se fait refuser, alors que la rectification, elle, s'obtient presque toujours. L'opposition (article 21) vaut enfin quand les données collectées servent à de la prospection commerciale : elle est de droit, sans avoir à se justifier.

Deux compléments utiles. Si vous ignorez ce qu'un site détient, commencez par le droit d'accès (article 15) : il oblige à vous communiquer les informations relatives à votre personne, leur origine, et les destinataires auxquels elles ont été transmises. Et quand l'effacement est accordé, l'article 19 oblige le responsable à relayer votre demande à ses sous-traitants — hébergeur, régie, prestataires de services — à qui ces données avaient été communiquées. Une ligne suffit : « merci de notifier cet effacement à tous les destinataires, comme le prévoit l'article 19 ».

Une demande qui aboutit contient six choses, et pas une ligne de plus :

1. Vos nom et prénom, tels qu'ils apparaissent sur la page.
2. L'adresse exacte de la page ou des pages concernées.
3. La donnée précise à effacer : « mon numéro de téléphone », « mon adresse postale », « l'annonce publiée le 4 mars ».
4. Le droit invoqué : droit à l'effacement, article 17 du RGPD (et droit d'opposition, article 21, si la donnée sert à de la prospection).
5. La date de la demande.
6. Une adresse pour vous répondre.

Le site doit répondre au plus tard sous un mois, porté à trois si la demande est complexe — à charge pour lui de vous prévenir et de s'en expliquer. Un silence de cinq semaines n'est donc pas un refus : c'est un manquement, et il ouvre le recours décrit plus bas.

Un détail qui compte : la CNIL rappelle qu'aucune pièce d'identité n'est exigée en principe, sauf doute raisonnable sur qui vous êtes. N'en joignez donc pas d'emblée : envoyer sa carte d'identité à un site qu'on cherche justement à faire nettoyer, c'est lui remettre une donnée de plus.

Les trois formulaires de Google, et lequel prendre

Google n'a pas un guichet mais trois, et se tromper de formulaire, c'est attendre pour rien. Aucun des trois ne touche à la page : tous agissent sur l'index du moteur.

1. Le formulaire de déréférencement. Il part de reportcontent.google.com et couvre le droit à l'oubli européen, issu de l'arrêt de la Cour de justice de l'Union européenne du 13 mai 2014 et fondé sur les articles 17 et 21 du RGPD. On y donne l'adresse exacte de chaque page, la recherche qui la fait apparaître — le plus souvent votre nom — et en deux phrases pourquoi cette information n'a plus à figurer là. Bing, Qwant et Yahoo ont leurs propres formulaires : faites-en au moins deux.

2. « Résultats vous concernant ». Cet outil-là ne traite que les informations personnelles recueillies sur des sites internet : téléphone, adresse postale, adresse e-mail. Sur myactivity.google.com/results-about-you, il surveille en continu et prévient quand une nouvelle page sort. Son déploiement varie selon les pays : vérifiez s'il s'ouvre avec votre compte.

3. « Actualiser un résultat de recherche ». C'est la dernière étape, et celle qui manque presque toujours. Le site a effacé ou rectifié la page, mais le vieux titre s'affiche encore : ce formulaire demande à Google de la reprendre telle qu'elle est. Inutile tant qu'elle n'a pas changé ; indispensable juste après.

Ce qu'on ne fera pas retirer

Autant le savoir avant d'y passer trois semaines. L'effacement peut être légitimement refusé dans cinq cas, listés par la CNIL : atteinte à la liberté d'expression et d'information, obligation légale de conservation (une facture se garde dix ans), intérêt public en matière de santé, fins d'archives, de recherche ou de statistiques, et données traitées pour constater ou défendre un droit en justice. Le moteur, lui, peut refuser le déréférencement si l'information doit être portée à la connaissance du public. Dans chacun de ces cas, la protection de la vie privée est mise en balance avec le droit du public à être informé : plus vous êtes exposé publiquement et plus l'information est récente, plus la balance penche contre vous.

En pratique : un article de presse exact ne s'efface pas, une mention dans un registre officiel non plus, et un impayé réel reste dans les dossiers du créancier — autre terrain, traité dans la fiche sur une société de recouvrement qui réclame une dette inconnue.

Le motif le plus souvent opposé n'est d'ailleurs pas dans cette liste : c'est l'intérêt légitime du site à continuer de collecter et de conserver ces données, parfois l'exécution du contrat qui vous lie encore à lui, ou ses propres obligations légales. Les deux derniers se vérifient ; le premier se conteste — c'est l'objet même de l'opposition de l'article 21 — mais il faut dire en quoi votre situation pèse plus lourd.

Personne ne répond : la plainte à la CNIL

Passé le mois, sans réponse ou avec un refus que vous jugez injustifié, la plainte se dépose en ligne et gratuitement sur le site de la CNIL — la Commission nationale de l'informatique et des libertés, l'autorité chargée en France de la protection des données à caractère personnel. Joignez-y la copie de votre demande, sa date, et la réponse reçue s'il y en a une : c'est ce dossier qui fait la différence entre une plainte instruite et une plainte qui dort. Le RGPD l'appelle une réclamation (article 77), la CNIL une plainte : c'est la même démarche.

Elle peut interroger le site, le mettre en demeure, le sanctionner. Elle ne répare pas votre préjudice — cela se demande au tribunal — et ne traite pas le pénal. Si vos données ont été publiées pour vous nuire, ou si un compte a été ouvert à votre nom, la voie est la plainte : c'est le sujet des fiches sur l'usurpation d'identité et sur comment porter plainte et signaler un piratage.

Pour le téléphone, il existe un raccourci que beaucoup ignorent : l'inscription en liste rouge auprès de son opérateur est gratuite et retire le numéro de l'annuaire universel. C'est la source que recopient les annuaires inversés : la tarir évite d'écrire à vingt sites l'un après l'autre.

Si les formulaires vous découragent, ou si vous ne savez pas d'où vient la fuite, une assistance à distance de trente minutes suffit à faire l'inventaire et à envoyer les deux premières demandes ; les tarifs sont affichés.

Ce qui ne sert à rien

• Payer un service de « nettoyage de réputation ». Ces offres envoient les formulaires gratuits que vous venez de lire et facturent le temps passé. Elles promettent ce qu'aucun prestataire ne maîtrise : la décision appartient au site et au moteur.
• Prendre un VPN. Il masque votre connexion pour l'avenir, il n'enlève rien de ce qui est publié. Question traitée dans faut-il un VPN contre le piratage.
• Supprimer son compte en premier. C'est l'erreur la plus fréquente. En fermant le compte, on perd les réglages de visibilité, la possibilité de retirer soi-même la publication, et la trace de ce qui était affiché. On supprime le compte après l'effacement et les captures, jamais avant.
• Relancer le site tous les deux jours. Une relance datée à un mois vaut dix messages en trois jours : c'est la date de la première demande qui ouvre le recours.
• Écrire au site en menaçant. Une demande courte, datée, avec l'adresse de la page, passe. Une lettre de colère sans adresse finit classée.

Questions fréquentes

Combien de temps le site a-t-il pour répondre ?

Un mois au plus tard, dans les meilleurs délais s'il peut faire plus vite. Ce délai monte à trois mois quand la demande est complexe, mais l'organisme doit alors vous informer de la prolongation et de son motif. Passé le mois sans nouvelle, vous pouvez saisir la CNIL.

Dois-je envoyer une copie de ma carte d'identité ?

En principe non. La CNIL précise qu'aucun justificatif n'est nécessaire, sauf si le site a un doute raisonnable sur votre identité. Attendez donc qu'il le demande, et ne fournissez alors que ce qui permet de vous reconnaître sur la page en question.

Le déréférencement fait-il disparaître la page ?

Non. Le contenu reste en ligne et accessible à qui possède le lien : seul le résultat affiché sur une recherche faite avec votre nom est retiré. Pour que la donnée disparaisse, il faut obtenir l'effacement auprès du site lui-même.

Faut-il payer pour supprimer ses données ?

Non. L'exercice du droit à l'effacement, le déréférencement, les outils de Google, l'inscription en liste rouge et la plainte à la CNIL sont tous gratuits. Un prestataire peut vous faire gagner du temps ; personne ne peut vous vendre un résultat garanti.

Et si la page est sur un site hébergé hors d'Europe ?

L'effacement sera difficile à obtenir, la CNIL ayant peu de prise sur un éditeur non européen. Le déréférencement, lui, reste ouvert : le moteur de recherche est soumis au RGPD dès qu'il opère en Europe, quel que soit le pays d'hébergement de la page.

Effacement ou rectification : que faut-il demander ?

L'effacement quand la donnée n'a plus à figurer là ; la rectification, article 16 du RGPD, quand elle est simplement fausse ou périmée. Une ancienne adresse ou un montant erroné s'obtient bien plus facilement en rectification : la loi Informatique et Libertés impose de tenir les données à caractère personnel exactes et à jour.

Comment faire retirer mon numéro de téléphone d'un annuaire ?

Demandez à votre opérateur votre inscription en liste rouge, c'est gratuit : le numéro sort de l'annuaire universel, donc de la source que recopient les annuaires inversés. Pour les sites qui l'affichent déjà, la demande d'effacement reste nécessaire, page par page.

Sources

• CNIL — le droit à l'effacement (article 17 du RGPD, délai, pièce d'identité, cas de refus).
• CNIL — le déréférencement d'un contenu dans un moteur de recherche (formulaires Google, Bing, Qwant, Yahoo ; recours en cas de refus).
• CNIL — déposer une plainte en ligne (gratuit, pièces à joindre).
• Google — signaler un contenu au titre du droit à l'oubli européen.
• Google — « Résultats vous concernant » (coordonnées personnelles).
• Google — actualiser un résultat de recherche obsolète.
• Internet Archive — demander le retrait d'un contenu.
• Orange — la liste rouge et l'annuaire universel (service gratuit).

À lire aussi : les démarches en cas d'usurpation d'identité · retrouver et faire retirer vos photos · le guide des démarches et recours.