Supprimer ses données personnelles : le guide pas à pas

Vous avez probablement déjà tapé votre prénom et votre nom dans Google. Entre les Pages Blanches, un ancien compte sur un forum, une adresse qui traîne sur un annuaire et les données revendues par un site de e-commerce, le résultat donne le vertige. Chaque formulaire rempli, chaque cookie accepté, chaque inscription laisse une trace. Et contrairement à ce qu'on imagine, supprimer un compte ne suffit pas à effacer toutes les données qui circulent sur vous. La bonne nouvelle, c'est que le RGPD vous donne un vrai levier pour agir. Mais encore faut-il savoir comment s'y prendre sans y passer des heures.

Où vos données se cachent-elles vraiment sur Internet ?

Avant de demander une suppression, il faut savoir où chercher. Les données personnelles ne se limitent pas à ce que vous publiez vous-même. Une grande partie est collectée, dupliquée et revendue sans que vous en ayez conscience.

Les annuaires de particuliers

Pages Blanches, 118218, Infobel, Tél.fr ou PagesJaunes publient vos coordonnées (nom, adresse, téléphone) souvent sans votre accord. Ces sites récupèrent des données issues des anciens annuaires téléphoniques ou de bases publiques. Résultat : votre adresse personnelle peut apparaître en première page Google quand quelqu'un vous cherche. La suppression est possible via une demande RGPD, mais chaque annuaire a son propre formulaire. Certains exigent une copie de votre pièce d'identité, d'autres se contentent d'un email.

Les annuaires d'entreprises

Si vous êtes ou avez été auto-entrepreneur, gérant ou associé, vos données professionnelles sont visibles sur Société.com, Pappers, Verif.com, Manageo ou Infogreffe. Ces sites publient des informations issues des registres officiels comme le RCS ou Sirene. Votre adresse personnelle utilisée comme adresse professionnelle se retrouve exposée. Pour les auto-entrepreneurs en activité, demander le statut "non diffusible" à l'INSEE est la meilleure prévention. Pour les structures fermées, une demande RGPD permet souvent d'obtenir la suppression des données obsolètes.

Les anciens profils et réseaux sociaux

Facebook, Instagram, LinkedIn, Twitter/X, TikTok, mais aussi les forums, les blogs que vous avez oubliés, les sites de jeux en ligne. Des comptes créés il y a dix ans peuvent encore exister avec votre photo, votre vrai nom et votre adresse email. Certains sites ne ferment jamais un compte tant que vous ne le demandez pas explicitement.

Les bases de données publiques

Le Journal Officiel, le BODACC, les registres du commerce publient des données par obligation légale. La suppression y est plus complexe, mais elle devient souvent possible une fois les procédures terminées et les délais de conservation expirés.

Les courtiers en données

Ces entreprises, aussi appelées data brokers, collectent et revendent vos informations personnelles à des fins de profilage publicitaire ou de démarchage. On estime qu'il en existe plusieurs centaines. Chacun peut détenir un dossier sur vous avec votre nom, votre adresse, votre email, votre numéro de téléphone, parfois votre date de naissance. Ces données finissent souvent sur le marché noir après une fuite. Les cyberattaques récentes contre Free (24 millions de clients), France Travail (36,8 millions de personnes), Boulanger ou Cultura ont mis en circulation des millions de données personnelles.

Le droit à l'effacement : ce que vous pouvez vraiment demander

Le RGPD, via son article 17, vous donne un droit à l'effacement, aussi appelé droit à l'oubli. Concrètement, vous pouvez demander à toute entreprise ou organisme de supprimer les données qu'il détient sur vous. Mais ce droit n'est pas absolu.

Vous pouvez l'invoquer dans ces cas :

• les données ne sont plus nécessaires à la finalité pour laquelle elles ont été collectées (vous avez quitté un service, vos données n'ont plus de raison d'être conservées)
• vous retirez votre consentement (par exemple, vous ne voulez plus recevoir une newsletter)
• vous vous opposez au traitement de vos données
• les données ont été traitées de manière illicite
• vous étiez mineur au moment de la collecte

L'entreprise peut refuser si :

• les données sont nécessaires à la liberté d'expression et d'information
• une obligation légale impose leur conservation (les factures doivent être conservées 10 ans)
• les données sont nécessaires pour constater, exercer ou défendre un droit en justice
• le traitement répond à un intérêt public (recherche scientifique, statistiques, archives)

Comment faire vos demandes vous-même, étape par étape

Faire les démarches soi-même est gratuit, mais demande du temps. Compter environ 300 heures pour contacter tous les courtiers en données, selon les estimations. Pour les annuaires et sites courants, le temps est plus raisonnable. Voici comment procéder.

Étape 1 : identifier l'organisme à contacter

Rendez-vous sur le site de l'organisme. Cherchez la page "Politique de confidentialité", "Politique vie privée" ou "Mentions légales". Vous y trouverez les coordonnées du délégué à la protection des données (DPO) ou du responsable de traitement. Si vous ne trouvez rien, la CNIL met à disposition une fiche pratique pour vous aider.

Étape 2 : formuler votre demande avec précision

Indiquez clairement quelles données vous souhaitez effacer. Une demande vague sera rejetée. Par exemple, demander la suppression de votre photo sur un site n'entraînera pas la suppression de votre compte. De même, demander la suppression de votre compte n'entraînera pas la suppression de vos factures, que l'entreprise doit conserver 10 ans par obligation légale. Soyez précis : "Je demande l'effacement de mon adresse postale et de mon numéro de téléphone figurant sur la page " ou "Je demande la suppression de mon compte utilisateur créé le sous l'identifiant ".

Étape 3 : choisir le bon canal

Vous pouvez envoyer votre demande par email, via un formulaire en ligne, ou par courrier recommandé avec accusé de réception. Le courrier recommandé offre une preuve de date incontestable, utile en cas de recours.

Étape 4 : conserver une copie de vos démarches

Faites une capture d'écran de votre demande et de la réponse. Si vous envoyez un email, gardez-le. Si vous postez un courrier, demandez un accusé réception. Cette preuve est indispensable si vous devez saisir la CNIL en cas d'absence de réponse ou de refus injustifié.

Étape 5 : patienter et relancer

L'entreprise a un mois maximum pour répondre. Ce délai peut être prolongé de deux mois si la demande est complexe, mais elle doit vous en informer dans le premier mois. Passé ce délai, si vous n'avez pas de réponse ou si la réponse est insatisfaisante, vous pouvez saisir la CNIL.

Les services automatisés : une alternative chronophage mais efficace

Des services comme Incogni, DeleteMe ou Optery contactent les courtiers en données à votre place. Le coût est d'environ 6 à 13 euros par mois. Ces services sont utiles si vous voulez couvrir un grand nombre de sites sans y passer des heures. En revanche, ils ne remplacent pas une demande manuelle pour un site spécifique que vous avez identifié. Si vous n'avez que quelques comptes à nettoyer, le faire vous-même est plus rapide et gratuit.

Que faire en cas de refus ou d'absence de réponse ?

Si l'entreprise refuse votre demande ou ne répond pas dans le délai d'un mois, vous pouvez saisir la CNIL. En 2025, le Comité européen de la protection des données a lancé une action coordonnée avec 32 autorités européennes, dont la CNIL, pour vérifier le respect du droit à l'effacement. Les entreprises qui ne répondent pas correctement s'exposent à des sanctions renforcées. Pour saisir la CNIL, rendez-vous sur son site, munissez de vos preuves (copie de la demande, accusé de réception, réponse de l'entreprise).

Une demande d'effacement bien formulée, avec les preuves de vos démarches, a nettement plus de chances d'aboutir qu'une demande vague envoyée sans suivi.

Ne négligez pas les moteurs de recherche

Même si vous supprimez vos données à la source, Google, Bing, Yahoo et Qwant peuvent continuer à les afficher dans leurs résultats pendant plusieurs semaines, le temps de mettre à jour leur index. Une demande de déréférencement accélère ce processus. Vous pouvez la faire directement via les formulaires dédiés de chaque moteur de recherche. Cela ne supprime pas la donnée, mais elle n'apparaît plus dans les résultats de recherche.

Le piège à éviter : oublier les données qui ne sont pas les vôtres

Vous pouvez être mentionné sur le site d'une association, dans un article de presse, sur le blog d'un ami, dans une liste de diffusion. Dans ce cas, vous ne pouvez pas supprimer le contenu vous-même. Vous devez contacter le responsable du site et lui demander de retirer les données vous concernant. Le RGPD s'applique aussi à ces cas, mais la procédure est plus lente et le taux de succès dépend de la bonne volonté du responsable.

Autre piège : les données que vous avez vous-même déposées sur des forums ou des sites de commentaires. Si vous avez posté sous un pseudo, mais que vous avez utilisé votre vrai nom ou votre email, ces données peuvent être retrouvées. La suppression est possible si le site modère ses contenus, mais certains forums ne suppriment jamais les messages anciens.

La décision à prendre : combien de temps êtes-vous prêt à y consacrer ?

Supprimer ses données personnelles, ce n'est pas une action unique. C'est un processus continu. Chaque nouveau compte, chaque nouveau formulaire, chaque nouvel abonnement recrée une trace. La question n'est pas de savoir si vous devez le faire, mais comment organiser votre veille. Si vous êtes prêt à y consacrer quelques heures par mois, faites-le vous-même : c'est gratuit et vous gardez le contrôle. Si vous voulez un résultat plus large sans y passer des centaines d'heures, un service automatisé peut être un bon investissement. Dans les deux cas, commencez par les annuaires et les sites qui exposent votre adresse personnelle : c'est ce qui présente le plus de risques en cas de fuite ou d'usurpation d'identité.