Effacement chez un prestataire : quelles preuves ?

Pour démontrer l’effacement chez un prestataire, il faut une preuve rattachée à votre compte, aux données concernées et aux opérations réalisées. Un message « compte supprimé » ne suffit pas à couvrir les pièces jointes, les exports du support et les sauvegardes. Le dossier peut être clôturé lorsque ces périmètres ont été traités et que les éventuelles conservations légalement exigées sont précisément justifiées.

Voici une méthode pour une PME quittant un logiciel. Elle comprend une instruction adaptable, un dossier fictif rempli et les décisions à prendre lorsque le fournisseur répond partiellement. Elle concerne les données qu’il traite pour votre compte, en qualité de sous-traitant.

Ce que vous pouvez demander au prestataire

L’Art. 28(3)(g) impose au contrat de prévoir, au choix du responsable de traitement, la suppression ou la restitution des données au terme de la prestation, ainsi que la destruction des copies. L’exception vise une conservation exigée par le droit de l’Union ou d’un État membre. L’Art. 28(3)(h) prévoit les informations et audits nécessaires à la démonstration du respect des obligations. RGPD, Art. 28(3)(g) et (h).

Le RGPD ne définit pas de formulaire universel de « certificat d’effacement ». Votre contrat de sous-traitance RGPD peut cependant imposer une attestation. Les clauses types de la Commission prévoient notamment que le sous-traitant certifie la suppression lorsqu’il procède à celle-ci. Elles s’appliquent si elles ont été intégrées à votre relation contractuelle ; elles ne remplacent pas automatiquement tous les contrats existants. Décision (UE) 2021/915, annexe, clause 10(d).

Relisez donc le périmètre du service, la date de fin, la clause de sortie et les engagements de preuve avant la résiliation. Le calendrier opérationnel se prépare en amont : le texte n’accorde pas automatiquement trente ou quatre-vingt-dix jours supplémentaires pour purger les données.

Écrire une instruction qui permette une réponse vérifiable

Désignez un pilote de sortie, capable de réunir le métier, l’informatique et le conseil juridique. Il identifie les comptes concernés, y compris un ancien espace d’essai, puis rapproche l’inventaire des données du contrat. Le destinataire est l’interlocuteur contractuellement prévu, avec copie au responsable de l’exécution chez le fournisseur.

Voici une trame proposée, à compléter selon le contrat ; elle n’est pas une clause officielle :

Objet : restitution et effacement — contrat [référence], comptes [identifiants].

Nous demandons la restitution des [catégories de données et documents] selon le format et le calendrier convenus, puis la suppression des données traitées pour notre compte et de leurs copies au terme de la prestation fixé au [date]. La réception sera contrôlée par [fonction et contact].

Merci de confirmer les opérations prévues pour la production, les pièces jointes, les copies de support, les environnements secondaires, les sauvegardes et vos sous-traitants ultérieurs. Pour toute conservation légalement exigée, indiquez le texte, les données concernées, la durée et les restrictions d’accès.

À l’issue des opérations, transmettez une attestation indiquant leur périmètre, leur date, les références de vérification et les éventuelles réserves. Signalez avant [échéance de réponse convenue] toute difficulté susceptible d’empêcher l’exécution.

Si aucune restitution n’est nécessaire, retirez cette étape. Si la réponse révèle un stockage oublié, complétez le périmètre avant de considérer l’instruction comme exécutée. Une date de réponse proposée facilite le suivi ; elle ne modifie pas l’échéance juridique de suppression.

Recenser les copies au-delà du compte visible

Demandez au prestataire de compléter l’inventaire avec ses équipes techniques. La liste des lieux de traitement ne se déduit pas de l’écran d’administration.

Le prestataire principal reste responsable devant vous de l’exécution des obligations du sous-traitant ultérieur, selon l’Art. 28(4). Il ne suffit donc pas qu’il vous renvoie vers son hébergeur. RGPD, Art. 28(4).

Adaptez la méthode technique au stockage. Vous n’avez pas à exiger la destruction d’un disque mutualisé si un effacement approprié permet d’atteindre le résultat recherché. Le guide sur l’effacement sécurisé des données explique ces distinctions. Votre demande de preuve doit porter sur le résultat et sa vérification.

Vérifier la restitution avant de perdre les accès

Une archive reçue peut rester inutilisable. Le responsable métier contrôle les catégories attendues, le nombre de dossiers annoncé et les relations entre fiches et documents. L’informatique vérifie le format, la lisibilité et la possibilité d’utiliser les fichiers sans dépendre du compte qui va fermer.

Cas hypothétique suivi dans ce guide. Une PME française quitte un outil de suivi des demandes clients le 20 septembre. Son instruction du 1er septembre couvre 480 dossiers et 960 pièces jointes, ainsi qu’une copie de diagnostic connue du support. Le fournisseur doit restituer les éléments le 15, avant la suppression prévue le 20.

Le premier export contient bien 480 lignes, mais les pièces jointes sont des liens vers l’ancien service. Le métier refuse la réception complète : après fermeture, ces liens deviendraient inutilisables. Le prestataire remet les fichiers le 17. L’équipe rapproche l’inventaire des pièces, contrôle des dossiers représentatifs et consigne les limites de ce contrôle. Elle confirme ensuite la réception, sans retarder la date de sortie.

Ce contrôle n’exige pas de lire chaque donnée personnelle. Il faut choisir des vérifications capables de détecter les omissions : pièce absente, fichier illisible, relation perdue ou contenu encore hébergé chez le fournisseur. Un échantillon ne démontre pas, à lui seul, l’exhaustivité de la restitution.

Sauvegardes et conservation légale : deux difficultés distinctes

Une sauvegarde encore présente est une copie à traiter. « Nous conservons tout pendant quatre-vingt-dix jours » ne constitue pas une exception légale à l’Art. 28(3)(g). Si le fournisseur invoque une impossibilité de suppression sélective, faites préciser l’architecture, les copies touchées et les solutions possibles. Le juriste et l’informatique doivent pouvoir évaluer une proposition réelle.

Variante du cas. Le fournisseur annonce le 18 septembre une rotation qui dépasserait la fin du contrat. La PME refuse une attestation de destruction totale et demande un plan correctif. Si les copies subsistent après l’échéance, elle maintient l’écart ouvert, exige des restrictions d’accès et empêche leur réutilisation en attendant sa résolution. Ces mesures réduisent le risque ; elles ne rendent pas la conservation automatiquement licite.

Une restauration ne doit pas remettre silencieusement les dossiers supprimés en production. La procédure doit permettre d’identifier les données concernées et de réappliquer les suppressions avant une remise à disposition. Le guide sur les sauvegardes après une demande d’effacement développe ce contrôle.

Une obligation légale est une autre situation. Demandez le texte applicable et les seules données qu’il exige de conserver. Les factures du fournisseur peuvent relever de ses propres obligations ; cela ne justifie pas l’archivage intégral de vos dossiers clients. Il faut séparer ces finalités et les responsabilités correspondantes, comme l’explique le guide des obligations d’un éditeur SaaS.

Évaluer l’attestation et remplir le dossier de clôture

Une preuve utile permet de relier instruction, opération et contrôle. Vérifiez l’identité du prestataire, les comptes, les stockages, la date d’exécution et la personne habilitée qui confirme. Une attestation peut renvoyer à un bordereau détaillé ; elle doit décrire exactement ce qu’elle couvre.

Les exemples de clauses CNIL, rubrique 12 prévoient une justification écrite de la destruction. Ils n’imposent pas de copier vos données dans cette justification. Demandez des références d’opérations ou un compte rendu expurgé lorsque des journaux contiennent des informations concernant d’autres clients.

Dans le cas hypothétique, les opérations aboutissent selon le calendrier initial. Le pilote constitue ce dossier :

L’exemple d’attestation correspondant pourrait être :

Nous confirmons l’exécution, le 20 septembre, de l’instruction du 1er septembre pour le compte professionnel 482. Les données et documents confiés, la copie de diagnostic et les sauvegardes recensées dans le bordereau C-482 ont été supprimés. Les opérations et contrôles figurent aux références P-482, S-482 et B-482. Le bordereau précise les intervenants concernés. Aucune copie de ce périmètre n’est conservée. Confirmation délivrée le 21 septembre par la responsable d’exploitation habilitée.

Cette formulation n’est acceptable que si les faits la soutiennent. Dans la variante où des sauvegardes subsistent, il faut les exclure explicitement de l’attestation partielle et laisser leur traitement ouvert.

Que faire si le fournisseur ne fournit pas la preuve ?

Procédez par difficulté identifiée. Si le message est trop général, listez les périmètres manquants et demandez une réponse précise. Si une pièce contredit l’attestation, transmettez cette contradiction au responsable contractuel et au référent protection des données du fournisseur. Ne validez pas la clôture sur une promesse orale.

Un refus persistant, une copie non expliquée ou une opération manifestement inachevée justifie une escalade. Le juriste prépare la demande formelle appropriée ; l’informatique précise les vérifications nécessaires. Envisagez un audit ciblé dans le cadre de l’Art. 28(3)(h), plutôt qu’une collecte indistincte de journaux. La décision d’escalade doit préciser ce qui reste à prouver et la prochaine échéance de suivi.

L’absence d’attestation n’établit pas, à elle seule, une violation de données notifiable. Si vous découvrez un accès indu, une divulgation ou une autre atteinte à la sécurité, qualifiez séparément cet incident et appliquez les critères des Art. 33 et 34. RGPD, notification et information des personnes.

Enfin, conservez les pièces et la décision dans votre dossier de conformité RGPD, avec des accès et une durée justifiés. N’y ajoutez pas une copie complète du fichier supprimé pour « prouver » sa suppression. Le dossier de preuve doit permettre de comprendre les opérations sans recréer inutilement les données effacées.

Ce qu’il faut retenir

• Définissez les copies concernées et l’instruction avant la fin du service.
• Contrôlez une restitution exploitable avant de perdre les accès.
• Une attestation partielle ne clôt pas les sauvegardes ou exports exclus.
• Documentez les opérations, les réserves et la décision finale sans recopier les données.

FAQ

Une capture du compte fermé peut-elle servir de preuve ?

Elle documente l’état de l’interface à une date donnée. Joignez-la si utile, mais elle ne renseigne pas sur les bases secondaires ni sur les copies accessibles aux équipes du fournisseur.

Une certification du prestataire remplace-t-elle l’attestation ?

Elle peut renseigner sur ses procédures et leur périmètre. Elle ne démontre pas que l’instruction relative à votre compte a effectivement été exécutée. Demandez une preuve propre à cette opération.

Faut-il demander les noms de tous les agents techniques ?

Pas systématiquement. L’identité du signataire habilité, les fonctions de contrôle et les références d’opérations peuvent suffire. La précision attendue dépend du dossier ; elle ne justifie pas la collecte de données sans utilité probatoire.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.