Supprimer ses données personnelles : méthode et droits
Quinze guides pas à pas pour exercer vos droits RGPD et faire supprimer vos données personnelles : effacement (article 17), opposition (article 21), déréférencement Google, annuaires, registres d'entreprises, réseaux sociaux, fuites de données, modèle de lettre.
La méthode, en cinq étapes
- Trouver où vos données sont publiées. Annuaires, courtiers en données, registres d'entreprises, réseaux sociaux, moteurs de recherche : le diagnostic gratuit vous dit par où commencer.
- Choisir le bon droit. L'effacement quand la donnée n'a plus lieu d'être publiée ; l'opposition quand elle sert à la prospection ou quand votre situation le justifie.
- Écrire au bon destinataire. Chaque site a son canal : un formulaire, l'adresse de son délégué à la protection des données, parfois un courrier. Le mauvais canal fait perdre des semaines.
- Attendre un mois, pas plus. Le site doit répondre dans ce délai ; il peut le prolonger de deux mois, à condition de vous le dire.
- Relancer, puis saisir la CNIL. Sans réponse, la réclamation auprès de la CNIL est gratuite ; et une donnée retirée peut réapparaître : surveillez.
Vos droits, dans le texte
L'effacement — article 17, paragraphe 1, du RGPD : « La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais, lorsque l'un des motifs suivants s'applique », lorsque l'un des motifs prévus s'applique, notamment quand les données ne sont plus nécessaires, quand vous vous opposez au traitement, ou quand elles ont été traitées de façon illicite.
L'opposition — article 21, paragraphe 2, du RGPD : « Lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s'opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection ». Et, hors prospection, article 21, paragraphe 1, du RGPD : pour des raisons tenant à votre situation particulière.
Le délai — article 12, paragraphe 3, du RGPD : le responsable répond « dans un délai d'un mois à compter de la réception de la demande », prolongeable de deux mois s'il vous en informe ; article 12, paragraphe 5, du RGPD : aucun paiement n'est exigé.
Texte lu sur www.cnil.fr le 25/09/2026.
La procédure de chaque site
Les sites qui publient des données en France, un par un, avec leur canal et le droit à invoquer ; les courtiers en données (542 courtiers et annuaires référencés) ; et, pour les dirigeants, les données d'entreprise qui se retirent.
Et si vous voulez le faire vous-même : peut-on supprimer ses données soi-même, gratuitement ?
Après une fuite de données : que faire, selon les données exposées
Chaque page d'affaire de nos alertes renvoie ici, à la catégorie que ses sources nomment.
Données d'identité
Ce que cela permet : usurper votre identité auprès d'un service qui se contente de ces éléments, ou rendre un hameçonnage crédible.
Que faire : Ne validez jamais une identité par retour de message ; en cas d'usurpation, déposez plainte et gardez le récépissé.
Coordonnées
Ce que cela permet : vous joindre avec des messages ciblés qui citent des informations exactes (hameçonnage, faux conseiller, faux colis).
Que faire : Ne cliquez pas, ne rappelez pas ; passez par le site ou le numéro officiel, et signalez les SMS au 33700.
Adresses postales
Ce que cela permet : des courriers frauduleux, un démarchage à domicile, ou compléter un profil d'usurpation.
Que faire : Surveillez les courriers officiels inattendus (ouverture de compte, contrat) et contestez-les par écrit.
Coordonnées bancaires
Ce que cela permet : des prélèvements frauduleux (un mandat de prélèvement signé à votre place suffit), une fraude au virement (faux RIB, faux fournisseur), ou un faux appel « de votre banque » ou « de l'administration » qui cite votre IBAN pour paraître crédible.
Que faire : Un IBAN ne se change pas, il se surveille : contestez auprès de votre banque tout prélèvement non autorisé, sous treize mois (article L133-24 du Code monétaire et financier), et faites bloquer les créanciers inconnus ; si une carte est concernée, faites opposition.
Données de santé
Ce que cela permet : un chantage, une discrimination, ou une fraude à l'assurance ; ce sont des données sensibles au sens du RGPD (article 9).
Que faire : Demandez à l'organisme la liste exacte des données concernées ; la CNIL traite en priorité les violations de données de santé.
Mots de passe
Ce que cela permet : entrer dans vos autres comptes si vous réutilisez le même mot de passe.
Que faire : Changez ce mot de passe partout où vous l'aviez réutilisé, activez la double authentification sur la messagerie et la banque.
Documents d'identité
Ce que cela permet : ouvrir un compte, souscrire un crédit ou une ligne téléphonique à votre nom.
Que faire : Déclarez la pièce compromise (pré-plainte en ligne) et surveillez les ouvertures de compte à votre nom.
Données professionnelles
Ce que cela permet : une fraude au président ou un hameçonnage ciblé au travail.
Que faire : Prévenez votre employeur, vérifiez par un second canal toute demande de virement ou de changement de coordonnées.
Données de connexion
Ce que cela permet : reconstituer vos habitudes et cibler d'autres services.
Que faire : Vérifiez les connexions récentes sur vos comptes et déconnectez les sessions inconnues.
Données de mineurs
Ce que cela permet : cibler des enfants ou leur famille ; la protection due aux mineurs est renforcée (article 8 du RGPD).
Que faire : Surveillez les sollicitations reçues par l'enfant et signalez-les ; la plainte CNIL peut être déposée par le parent.
D'autres données personnelles
Ce que cela permet : un usage qui dépend de leur nature exacte.
Que faire : Demandez à l'organisme la liste précise des données concernées (article 15).