Données supprimées : prouver l'exécution d'un droit

Après une demande d’effacement, l’équipe conserve parfois une capture complète du dossier supprimé pour prouver son intervention. Elle recrée ainsi, dans un autre outil, les données qu’elle voulait retirer. La preuve doit montrer la décision, son périmètre et son exécution, avec le minimum d’informations nécessaire.

Constituez un dossier bref reliant la demande, la décision motivée, les actions techniques et leur contrôle. Conservez aussi la réponse adressée à la personne. Un journal « commande réussie » ne suffit pas si personne ne sait quels systèmes étaient concernés ; une attestation générale ne remplace pas le traitement des copies encore actives.

Ce qu’il faut retenir

• Une décision juridique et une commande de suppression ne prouvent pas la même chose.
• La trace doit permettre de relier la demande aux actions effectuées, sans reproduire tout le dossier.
• Les exceptions de conservation doivent être identifiées et expliquées.
• Une suppression peut nécessiter une vérification des copies, flux et restaurations.

Définir ce que la preuve doit établir

L’Art. 5(2) du RGPD impose au responsable de pouvoir démontrer le respect des principes. Cette responsabilité s’articule avec la minimisation et la limitation de conservation prévues aux Art. 5(1)(c) et 5(1)(e). Aucun de ces textes n’impose de garder une copie intégrale du dossier effacé comme justificatif. RGPD, principes et licéité.

Le dossier de preuve doit répondre à quatre questions : quelle demande a été reçue, quelle décision a été prise, quelles actions ont été exécutées et quelles données restent légitimement conservées. Le droit à l’effacement détermine les conditions de fond ; ce guide porte sur leur démonstration opérationnelle.

Une demande ne commande pas nécessairement la destruction de tout ce qui porte le nom du demandeur. Le responsable apprécie les motifs de l’Art. 17(1) et les exceptions nécessaires de l’Art. 17(3). Cette décision doit précéder la commande technique : l’administrateur ne devrait pas décider seul de supprimer une pièce utile à un contentieux ni de la garder sans motif.

La gestion de la demande constitue elle-même un traitement. Identifiez sa finalité, son fondement, les accès et la conservation ; la responsabilité prévue par l’Art. 5(2) ne dispense pas de cette analyse. Une référence de ticket, une correspondance protégée et quelques traces d’exécution peuvent suffire là où un export complet serait excessif.

Séparer les pièces utiles

Une référence pseudonymisée peut réduire l’exposition, sans rendre automatiquement la trace anonyme. Si elle permet encore de relier le dossier à la personne, elle reste soumise au RGPD. Définissez qui peut retrouver cette correspondance et pourquoi.

Cas pratique : vérifier une suppression annoncée comme terminée

Exemple entièrement fictif. Nora a demandé un devis à un organisme français de formation, sans conclure de contrat. Elle demande ensuite la suppression de son dossier de prospection. Le référent vérifie que les informations ne sont plus nécessaires à cette finalité et qu’aucune exception applicable ne justifie de conserver les pièces commerciales. Il accepte leur effacement sur le fondement de l’Art. 17(1)(a).

La demande reçoit la référence EFF-2026-041. Le suivi de cette demande est séparé du dossier commercial. L’adresse permettant de répondre à Nora n’est accessible qu’aux personnes chargées de ses droits ; elle n’est pas recopiée dans chaque journal technique. Le dossier de preuve indique la règle de conservation interne applicable et son échéance, sans reproduire les renseignements que Nora avait fournis pour son devis.

Le bordereau rempli avant la clôture

Les dates, outils et résultats de ce tableau décrivent le scénario, pas une procédure universelle. Dans un dossier réel, chaque ligne doit renvoyer à une trace identifiable et à un responsable. « Aucune donnée trouvée » n’a de sens qu’avec le système, les critères et la date de recherche.

Pourquoi le premier bilan est refusé

L’administrateur fournit un journal de suppression de la fiche CRM et propose de clore la demande. Le référent constate deux limites : la commande n’inclut pas le stockage des pièces jointes, et le prestataire a seulement accusé réception de l’instruction. Il refuse donc la mention « effacement terminé » sur ces deux périmètres.

Pour les pièces, l’administrateur retrouve l’identifiant du formulaire, retire les objets associés et vérifie qu’ils ne sont plus récupérables par le parcours applicatif concerné. Il consigne le nombre d’objets traités et la référence de l’opération, sans joindre leur contenu. Pour le prestataire, le référent demande la date d’exécution, les applications couvertes et les réserves éventuelles ; une attestation signée mais sans périmètre serait insuffisante.

Dans ce scénario, le prestataire confirme finalement la suppression de sa liste active et décrit séparément ses sauvegardes. Le référent rapproche cette réponse du service réellement utilisé. Il ne la présente pas comme un audit indépendant de tous les systèmes du prestataire. Si une réserve reste incompatible avec la demande acceptée, le dossier reste ouvert sur ce point et l’escalade contractuelle commence.

Répondre sans promettre une disparition absolue

La réponse à Nora reprend les catégories effacées, la date des opérations et les limites réellement établies. Elle explique séparément le dossier minimal de gestion des droits qui subsiste et les modalités applicables aux sauvegardes. Elle ne contient ni capture de la fiche disparue ni copie des pièces supprimées.

L’Art. 12(3) impose d’informer la personne des mesures prises dans les meilleurs délais et au plus tard dans un mois à compter de la réception. Une prolongation de deux mois peut répondre à la complexité ou au nombre des demandes, à condition d’en informer la personne et de motiver le report dans le premier mois. Une attente de réponse du prestataire ne déclenche pas automatiquement cette prolongation. Si aucune suite n’est donnée, l’Art. 12(4) impose les motifs et les informations sur les recours. RGPD, exercice des droits.

Vérifier au-delà du bouton « supprimer »

Exemple hypothétique : l’application principale supprime la fiche, mais un export mensuel la réimporte le lendemain. Le journal de la première commande prouve son exécution ponctuelle, pas le maintien du résultat recherché.

Contrôlez les interfaces qui peuvent recréer la donnée, les fichiers actifs, les archives pertinentes et les prestations sous-traitées. Pour ces dernières, utilisez une preuve d’effacement du prestataire rattachée au bon périmètre. Pour les sauvegardes, formalisez le traitement d’une restauration après effacement.

L’article 19 encadre la notification de l’effacement effectué conformément à l’article 17(1) aux destinataires auxquels les données ont été communiquées, sauf impossibilité ou efforts disproportionnés. Tracez les notifications et les exceptions motivées. RGPD, chapitre III.

Une sauvegarde ne devient pas une exception à l’effacement du seul fait qu’une modification y est difficile. Faites documenter les contraintes, les mesures empêchant une réutilisation, le calendrier effectif et le traitement d’une restauration ; appréciez juridiquement la solution retenue. Si une ancienne copie est réintroduite dans un système actif, la procédure doit identifier les demandes déjà exécutées et empêcher que ces données repartent dans les usages ordinaires. Le statut du dossier doit refléter ce qui reste à traiter.

Décrire les données conservées avec précision

La preuve doit distinguer un échec technique d’une conservation juridiquement nécessaire. Une facture conservée au titre d’une obligation identifiée n’est pas une suppression manquée. Un fichier oublié dans un répertoire partagé n’est pas une archive légale parce qu’il contient la même personne.

Indiquez la catégorie, le motif, la durée ou ses critères, le lieu et les restrictions d’accès. Le parcours de suppression avec pièces comptables conservées illustre cette séparation.

Fixez aussi une durée de conservation propre au dossier de preuve, fondée sur ses finalités et le contexte applicable. Il n’existe pas dans le RGPD de durée universelle pour toutes les preuves d’effacement. Prévoyez une révision en cas de réclamation ou de litige réel, sans étendre automatiquement une conservation à tous les dossiers.

Protéger la preuve et rendre les corrections visibles

Le journal doit permettre de savoir qui a déclaré l’opération, à quel moment et sur quel périmètre. Réservez sa modification aux personnes habilitées et gardez une trace des corrections. Une erreur découverte après clôture appelle une nouvelle entrée datée et, si nécessaire, une reprise des actions ; modifier silencieusement la ligne ancienne détruirait la compréhension du dossier.

Dans l’exemple de Nora, le responsable du contrôle peut consulter les références techniques, mais les commerciaux n’accèdent plus au dossier de demande. Une revue de clôture vérifie que les pièces de preuve restent lisibles et que chaque réserve a un propriétaire. Elle ne transforme pas l’absence d’anomalie constatée en garantie qu’aucune copie n’existe nulle part.

Ces modalités relèvent de l’organisation choisie pour rendre la preuve fiable. L’Art. 32(1) impose des mesures de sécurité adaptées au risque ; il ne prescrit pas un logiciel de journalisation précis ni une signature électronique pour chaque effacement. L’Art. 28(3)(e) et (h) prévoit l’assistance du sous-traitant et les informations nécessaires pour démontrer ses obligations. RGPD, responsabilités et sécurité.

FAQ

Un courriel « c’est supprimé » suffit-il ?

Il peut faire partie de la preuve, mais sa valeur dépend de son auteur, du périmètre et des vérifications réalisées. Une confirmation précise et reliée aux actions est plus utile qu’une formule sans référence.

Faut-il garder le nom de la personne dans le journal ?

Déterminez si une référence moins exposante permet de démontrer le traitement de la demande. Garder un nom peut parfois être justifié ; cela exige alors une finalité, une durée et des accès adaptés.

Un contrôle négatif prouve-t-il que rien ne subsiste ?

Il prouve ce qui a été recherché dans un périmètre donné. Documentez les systèmes et critères contrôlés, et évitez de promettre une disparition absolue sans preuve sur les copies concernées.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.