Le droit à l’effacement, souvent appelé « droit à l’oubli », est l’un des droits les plus emblématiques du Règlement Général sur la Protection des Données (RGPD). Pourtant, sa mise en œuvre effective reste encore inégale, voire lacunaire, au sein de nombreuses organisations.
C’est dans ce contexte que la CNIL, en coordination avec les autres autorités européennes de protection des données, a décidé d’intensifier les contrôles.
🟠 1 – Une action coordonnée au niveau européen
En mars 2025, la CNIL a annoncé le lancement d’une série de contrôles ciblés portant sur le droit à l’effacement des données personnelles. Cette initiative s’inscrit dans le cadre d’une action coordonnée du Comité Européen de la Protection des Données (EDPB), qui rassemble les autorités nationales de l’ensemble de l’Espace économique européen.
L’objectif : renforcer l’application du RGPD et garantir que les citoyens puissent exercer pleinement leurs droits, en particulier celui de voir leurs données supprimées lorsqu’il n’existe plus de justification à leur conservation.
🟠 2 – Que veut dire droit à l’effacement ?
Prévu à l’article 17 du RGPD, le droit à l’effacement permet à toute personne concernée de demander à un responsable de traitement la suppression de ses données personnelles dans certaines situations, notamment :
- Lorsque les données ne sont plus nécessaires au regard des finalités initiales ;
- En cas de retrait du consentement ;
- En cas d’opposition légitime au traitement ;
- Lorsque les données ont été traitées de manière illicite ;
- Pour respecter une obligation légale.
Ce droit n’est pas absolu, et certaines exceptions sont prévues, notamment lorsque le traitement est nécessaire à l’exercice du droit à la liberté d’expression, à des fins d’archives ou pour la constatation, l’exercice ou la défense de droits en justice.
🟠 3 – Un signal fort envoyé aux organisations
Ce renforcement des contrôles s’inscrit dans une dynamique plus large de vigilance sur les droits des personnes. Après s’être longtemps concentrées sur les bases légales, les durées de conservation ou les transferts de données, les autorités européennes semblent désormais vouloir recentrer leur action sur les droits opérationnels, en particulier ceux qui restent les plus complexes à mettre en œuvre pour les responsables de traitement.
Les entreprises, associations ou collectivités sont ainsi invitées à réévaluer leurs procédures internes, à former leurs équipes à la gestion des demandes d’effacement et à vérifier l’efficacité technique des processus de suppression.
La CNIL précise que ces contrôles peuvent donner lieu à des mises en demeure, des injonctions ou des sanctions financières, mais aussi à la publication de recommandations destinées à harmoniser les bonnes pratiques au niveau européen.
🟠 Conclusion
Avec cette nouvelle campagne de contrôles, la CNIL et ses homologues européens rappellent que la protection des données ne saurait être une promesse théorique. Le droit à l’effacement, doit être pleinement opérationnel, rapide et conforme aux exigences du RGPD.
Les résultats de cette action coordonnée, attendus dans les prochains mois, pourraient donner lieu à des sanctions exemplaires mais aussi à de nouvelles recommandations visant à renforcer la transparence, la réactivité et l’efficacité des pratiques en matière de suppression des données.
Le European Accessibility Act (EAA) – ou directive européenne sur l'accessibilité – entre en application le 28 juin 2025. Ce texte vise à renforcer l’égalité d’accès aux biens et services pour les personnes en situation de handicap, en imposant des obligations nouvelles aux entreprises privées. Il s’agit d’un changement profond dans la manière de concevoir et de fournir les produits et services numériques sur le marché européen.
Dans un arrêt du 19 novembre 2024, la Cour d’appel de Rennes a rappelé avec force qu’un prestataire informatique est tenu à une obligation d’information et de conseil renforcée, en particulier lorsqu’il intervient sur un système complexe pour un client non-professionnel du secteur dans lequel le prestataire se dit spécialiste.
Dans un arrêt du 22 mai 2025, la deuxième chambre civile de la Cour de cassation s’est exprimée sur une question qu’elle n’avait encore jamais tranché, et qui divisait les Cours d’appel, celle de savoir si le délai de huit jours visé à l’article 857 du Code de procédure civile s’appliquait aux procédures introduites devant le Président du Tribunal de commerce en matière de rétractation d’ordonnance sur requête. Dans cette affaire, afin de tenter de justifier l’existence d’actes de concurrence déloyale, une requête sur le fondement de l’article 145 du Code de procédure civile avait été déposée devant le président du Tribunal de commerce, ce dernier ayant ensuite été saisi d’une demande de rétractation de l’ordonnance prononcée.
Le 23 avril 2025, la Commission européenne a en prononcé les premières sanctions au titre du Digital Markets Act (DMA). Deux géants américains du numérique, Apple et Meta, se voient infliger des amendes respectives de 500 millions d’euros et 200 millions d’euros pour manquements aux nouvelles obligations européennes de régulation des marchés numériques. Un signal fort adressé aux gatekeepers : l’ère du DMA est désormais entrée dans sa phase d’application concrète.