Comment effacer ses traces sur internet en 2026 : guide complet RGPD

En 2026, le droit à l'effacement prévu par l'article 17 du RGPD (Règlement Général sur la Protection des Données) permet à toute personne de demander la suppression de ses données personnelles détenues par un organisme. Ce droit, aussi appelé « droit à l'oubli numérique », couvre les données publiées sur des sites internet, les réseaux sociaux, les moteurs de recherche et les bases de données commerciales. La CNIL (Commission Nationale de l'Informatique et des Libertés) est l'autorité compétente en France pour faire respecter ce droit.

Quatre cas où le droit à l'effacement s'applique

L'article 17 du RGPD prévoit quatre situations dans lesquelles vous pouvez exiger la suppression de vos données :

• Retrait du consentement : vous aviez donné votre accord pour l'utilisation de vos données, et vous décidez de le retirer. Par exemple, vous vous étiez inscrit à une newsletter et vous souhaitez que vos coordonnées soient supprimées de la base de diffusion.
• Usage illégal des données : vos données sont traitées de manière illicite, par exemple une photo prise sans votre accord dans un lieu privé et publiée sur un réseau social.
• Données publiées étant mineur : vos données ont été publiées lorsque vous étiez mineur sur des réseaux sociaux, des sites internet ou des forums. Le RGPD reconnaît une protection renforcée pour les données des mineurs.
• Obligation légale : la loi impose la suppression de ces données, par exemple à l'issue de la durée de conservation autorisée.

distinguer l'effacement de données (supprimer une photo ou une information précise) de la suppression de compte (fermer un profil entier). Supprimer un compte ne garantit pas l'effacement de toutes vos données : un site e-commerce doit conserver vos factures pendant 10 ans, même après la fermeture de votre compte.

Déréférencement Google : faire disparaître ses résultats de recherche

Le déréférencement sur Google est la démarche la plus efficace pour rendre une information difficilement accessible. Depuis l'arrêt Cour de justice de l'Union européenne du 13 mai 2014 (affaire Google Spain/Costeja), toute personne peut demander à Google de ne plus afficher certains résultats la concernant dans les moteurs de recherche.

La procédure se fait via le formulaire de demande de déréférencement de Google : vous devez identifier les URL exactes à déréférencer, expliquer pourquoi chaque résultat est inadéquat, obsolète ou excessif au regard de votre vie privée, et fournir une preuve d'identité. Google évalue chaque demande au cas par cas et peut refuser le déréférencement s'il estime que l'intérêt public prime sur le droit à la vie privée (personnes publiques, délits graves, informations d'intérêt général).

En 2025, la CJUE a précisé dans l'arrêt Google LLC c/ Commission nationale de l'informatique et des libertés (CNIL) que le déréférencement doit s'appliquer dans tous les États membres de l'UE, et non uniquement dans la version française de Google. Si Google refuse votre demande, vous pouvez saisir la CNIL qui disposera de 2 mois pour statuer.

Supprimer ses comptes sur les réseaux sociaux

Chaque plateforme propose une procédure de suppression de compte, mais les délais et conditions varient :

• Facebook/Meta : depuis les paramètres du compte, « Vos informations Facebook » puis « Suppression définitive du compte ». Meta conserve les données pendant 30 jours après la demande (période de grâce durant laquelle vous pouvez annuler). Au-delà, la suppression est irréversible. Les messages envoyés dans les conversations restent visibles pour les autres participants.
• Instagram : procédure identique à Facebook (même groupe Meta). La suppression prend effet après 30 jours. Instagram conserve les données nécessaires à la facturation et aux obligations légales.
• X (anciennement Twitter) : dans les paramètres du compte, « Désactiver votre compte ». La désactivation entraîne la suppression après 30 jours. Sans connexion durant 30 jours, le compte est définitivement supprimé. Les tweets restent indexés par des services d'archivage tiers.
• TikTok : dans les paramètres, « Gérer le compte » puis « Supprimer le compte ». La suppression est effective après 30 jours. TikTok conserve certaines données imposées par la législation locale.
• LinkedIn : depuis les paramètres, « Gérer votre compte » puis « Supprimer votre compte ». LinkedIn conserve vos données pendant 14 jours avant suppression définitive. Les recommandations et endorsements restent visibles temporairement.

Supprimer ses données des courtiers de données (data brokers)

Les courtiers de données (data brokers) collectent et revendent vos informations personnelles : adresses, numéros de téléphone, habitudes de navigation, historique d'achat. En France, les principaux courtiers sont Spokeo, WhitePages, PeopleFinder et Veripages. Depuis le RGPD, ces entreprises sont obligées de supprimer vos données sur simple demande.

La démarche : identifiez les courtiers qui détiennent vos données en tapant votre nom sur Google, contactez le délégué à la protection des données (DPO) de chaque organisme (ses coordonnées figurent obligatoirement dans la politique de confidentialité), et envoyez votre demande par email ou courrier en recommandé avec accusé de réception. Conservez systématiquement une preuve de votre demande (capture d'écran, copie de l'e-mail, accusé de réception du recommandé).

Supprimer ses données des sites de personnes (annuaires en ligne)

Les annuaires en ligne comme PagesJaunes, Annuaire Inverse, 118712.fr et Infobel publient vos coordonnées sans votre consentement explicite. La loi Informatique et Libertés (article 38) et le RGPD vous donnent le droit de faire supprimer ces informations :

• PagesJaunes : formulaire de désinscription accessible dans les paramètres de votre profil ou via la page « Données personnelles » du site.
• 118712.fr : lien de suppression dans les mentions légales ou en contactant le DPO à l'adresse indiquée dans la politique de confidentialité.
• Annuaire Inverse : demande par email au DPO ou via le formulaire de contact dédié aux demandes RGPD.

Si l'annuaire refuse ou ne répond pas dans le délai d'un mois (renouvelable une fois en cas de demande complexe), vous pouvez déposer une plainte auprès de la CNIL.

Les exceptions au droit à l'effacement

L'organisme peut refuser votre demande d'effacement dans cinq cas prévus par l'article 17 paragraphe 3 du RGPD :

1. Droit à la liberté d'expression et d'information : l'information est d'intérêt public (journalisme, débats d'intérêt général).
2. Obligation légale de conservation : certaines données doivent être conservées par loi (factures 10 ans, données bancaires 5 ans, données fiscales 3 ans).
3. Intérêt public dans le domaine de la santé publique.
4. Données utilisées pour des recherches scientifiques ou historiques ou à des fins statistiques d'intérêt public.
5. Défense en justice : les données sont nécessaires pour exercer un droit en justice.

Délais et recours auprès de la CNIL

L'organisme dispose d'un délai d'un mois pour répondre à votre demande d'effacement. Ce délai peut être prolongé à trois mois si la demande est complexe, mais l'organisme doit vous en informer dans le premier mois. En l'absence de réponse ou en cas de refus, vous pouvez :

• Déposer une plainte en ligne auprès de la CNIL via le formulaire de plainte sur cnil.fr. Vous devez fournir les preuves de votre demande initiale (copie de l'e-mail, capture d'écran, accusé de réception du recommandé).
• Saisir le tribunal judiciaire : en cas de préjudice avéré, vous pouvez demander des dommages et intérêts. Le délai de recours est de 6 ans à compter de la connaissance des faits (article 2224 du Code civil).

En 2024, la CNIL a traité 9 200 plaintes liées au droit d'accès et d'effacement, dont 68 % ont abouti à une médiation favorable. Le montant moyen des sanctions prononcées pour non-respect du droit à l'effacement est de 15 000 € par infraction constatée.