Données supprimées : prouver l'exécution d'un droit
Prouver un effacement RGPD avec des traces proportionnées, des contrôles techniques et un dossier qui ne recrée pas les données supprimées.
Après une demande d’effacement, l’équipe conserve parfois une capture complète du dossier supprimé pour prouver son intervention. Elle recrée ainsi, dans un autre outil, les données qu’elle voulait retirer. La preuve doit montrer la décision, son périmètre et son exécution, avec le minimum d’informations nécessaire.
Ce qu’il faut retenir
- Une décision juridique et une commande de suppression ne prouvent pas la même chose.
- La trace doit permettre de relier la demande aux actions effectuées, sans reproduire tout le dossier.
- Les exceptions de conservation doivent être identifiées et expliquées.
- Une suppression peut nécessiter une vérification des copies, flux et restaurations.
Définir ce que la preuve doit établir
L’article 5(2) du RGPD impose au responsable de pouvoir démontrer le respect des principes. Cette responsabilité s’articule avec la minimisation et la limitation de conservation prévues aux articles 5(1)(c) et 5(1)(e). Aucun de ces textes n’impose de garder une copie intégrale du dossier effacé comme justificatif. RGPD.
Le dossier de preuve doit répondre à quatre questions : quelle demande a été reçue, quelle décision a été prise, quelles actions ont été exécutées et quelles données restent légitimement conservées. Le droit à l’effacement détermine les conditions de fond ; ce guide porte sur leur démonstration opérationnelle.
Séparer les pièces utiles
| Pièce de suivi | Contenu proportionné | À éviter sans nécessité |
|---|---|---|
| Enregistrement de demande | Date, objet, référence et canal de réponse | Duplication de toutes les annexes |
| Décision | Périmètre accepté, exceptions et motifs | Formules générales sans catégorie visée |
| Trace technique | Action, système, date, résultat et référence | Export complet avant suppression |
| Confirmation prestataire | Périmètre couvert et réserve éventuelle | Attestation sans objet identifiable |
| Clôture | Contrôles réalisés et réponse envoyée | Capture de chaque écran du dossier |
Une référence pseudonymisée peut réduire l’exposition, sans rendre automatiquement la trace anonyme. Si elle permet encore de relier le dossier à la personne, elle reste soumise au RGPD. Définissez qui peut retrouver cette correspondance et pourquoi.
Vérifier au-delà du bouton « supprimer »
Exemple hypothétique : l’application principale supprime la fiche, mais un export mensuel la réimporte le lendemain. Le journal de la première commande prouve son exécution ponctuelle, pas le maintien du résultat recherché.
Contrôlez les interfaces qui peuvent recréer la donnée, les fichiers actifs, les archives pertinentes et les prestations sous-traitées. Pour ces dernières, utilisez une preuve d’effacement du prestataire rattachée au bon périmètre. Pour les sauvegardes, formalisez le traitement d’une restauration après effacement.
L’article 19 encadre la notification de l’effacement effectué conformément à l’article 17(1) aux destinataires auxquels les données ont été communiquées, sauf impossibilité ou efforts disproportionnés. Tracez les notifications et les exceptions motivées. RGPD, chapitre III.
Décrire les données conservées avec précision
La preuve doit distinguer un échec technique d’une conservation juridiquement nécessaire. Une facture conservée au titre d’une obligation identifiée n’est pas une suppression manquée. Un fichier oublié dans un répertoire partagé n’est pas une archive légale parce qu’il contient la même personne.
Indiquez la catégorie, le motif, la durée ou ses critères, le lieu et les restrictions d’accès. Le parcours de suppression avec pièces comptables conservées illustre cette séparation.
Fixez aussi une durée de conservation propre au dossier de preuve, fondée sur ses finalités et le contexte applicable. Il n’existe pas dans le RGPD de durée universelle pour toutes les preuves d’effacement. Prévoyez une révision en cas de réclamation ou de litige réel, sans étendre automatiquement une conservation à tous les dossiers.
FAQ
Un courriel « c’est supprimé » suffit-il ?
Il peut faire partie de la preuve, mais sa valeur dépend de son auteur, du périmètre et des vérifications réalisées. Une confirmation précise et reliée aux actions est plus utile qu’une formule sans référence.
Faut-il garder le nom de la personne dans le journal ?
Déterminez si une référence moins exposante permet de démontrer le traitement de la demande. Garder un nom peut parfois être justifié ; cela exige alors une finalité, une durée et des accès adaptés.
Un contrôle négatif prouve-t-il que rien ne subsiste ?
Il prouve ce qui a été recherché dans un périmètre donné. Documentez les systèmes et critères contrôlés, et évitez de promettre une disparition absolue sans preuve sur les copies concernées.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.