Droit à l’effacement : les enjeux pour la PME
L’article 17 du RGPD liste les motifs : les données ne sont plus nécessaires à la finalité de leur collecte, la personne retire son consentement et aucune autre base ne justifie le traitement, elle s’oppose valablement au traitement, le traitement est illicite, une obligation légale impose l’effacement, ou les données ont été collectées en ligne auprès d’un mineur. Selon la CNIL, une personne peut aussi l’obtenir lorsque ses données servent à la prospection commerciale.
Le droit n’est pas absolu. Il ne s’applique pas lorsque la conservation est nécessaire à une obligation légale, à la liberté d’expression, à des motifs de santé publique, à l’archivage, à la recherche ou aux statistiques, ou à la défense de droits en justice. La CNIL cite les factures, conservées 10 ans : un ancien client peut obtenir la suppression de son compte et de son historique commercial, pas celle des pièces comptables.
L’entreprise répond dans les meilleurs délais et au plus tard dans un mois, porté à trois mois pour une demande complexe, en indiquant les raisons du report. Faute de réponse, la personne peut saisir la CNIL, qui a rendu 14 décisions en 2025 pour des demandes d’accès, d’effacement ou d’opposition non prises en compte.
Le risque, pour une PME, est d’effacer à un endroit et d’oublier les autres : CRM, outil d’emailing, tableurs partagés, exports, bases alimentant un assistant d’IA. Trois questions avant de confirmer : où la donnée est-elle stockée, quelle obligation impose d’en conserver une partie, et quel prestataire en détient une copie ? Fixer des durées de conservation claires réduit d’avance le volume à traiter. Cette fiche est une information générale, à compléter par l’avis d’un conseil.
Exemple
Un distributeur de fournitures de bureau de 50 salariés reçoit la demande d’effacement d’une ancienne cliente. Ses données figurent dans 4 outils : le CRM, l’outil d’emailing, un tableur commercial et le logiciel de facturation. L’équipe supprime la fiche CRM, le contact d’emailing et la ligne du tableur, conserve les 3 factures émises au titre de l’obligation comptable, et répond en 9 jours en expliquant ce qui a été effacé et ce qui est conservé, avec le motif.
Questions fréquentes
Une entreprise doit-elle toujours supprimer les données sur demande ?
Non. L’effacement est dû dans les cas prévus par l’article 17 du RGPD, mais il cède devant une obligation légale de conservation, la défense de droits en justice ou certaines finalités d’intérêt public.
Combien de temps a-t-on pour effacer les données ?
Un mois au plus, porté à trois mois pour une demande complexe, à condition d’expliquer à la personne les raisons du report.
Peut-on garder les factures d’un client qui demande l’effacement ?
Oui. La CNIL rappelle que les factures font l’objet d’une obligation légale de conservation de 10 ans, qui l’emporte sur la demande d’effacement pour ces pièces.
Supprimer le compte client suffit-il ?
Pas forcément. La suppression d’un compte n’efface pas toutes les données liées : vérifiez chaque outil où la personne figure et indiquez-lui précisément ce qui a été effacé.
Sources
- RGPD, chapitre III : droits de la personne concernée (articles 12 à 22), CNIL — consulté le 16 octobre 2026
- Le droit à l’effacement : supprimer vos données en ligne, CNIL — consulté le 16 octobre 2026
- Sanctions et mesures correctrices : la CNIL présente le bilan 2025, CNIL — consulté le 16 octobre 2026
Auteur
Clément Marchal a fondé le Cabinet Flourens. Depuis 2017, dont cinq ans à faire tourner des équipes, notamment dans un environnement régulé par l'AMF, il voit la même chose : l'IA entre dans l'entreprise par les salariés, pas par la direction. Personne ne sait qui l'utilise, sur quelles données, ni ce qu'elle rapporte. Avec Ardoise, le Cabinet Flourens met cet usage en ordre en six semaines : la carte des usages, des règles acceptées, deux automatisations ou agents IA sur vos outils et le dossier qui prouve ce que l'entreprise a fait.
L'histoire du cabinetMode d'Emploi, la lettre
Une méthode par semaine pour reprendre la main sur votre organisation. Désinscription en un clic.