Définition
Le droit à l’oubli est la faculté reconnue à une personne physique d’exiger l’effacement de données personnelles la concernant lorsqu’elles sont inexactes, obsolètes, excessives ou portées à la connaissance du public sans base légale valable. En droit européen, il est codifié à l’article 17 du RGPD sous l’intitulé « droit à l’effacement » (*right to erasure*), et il a été consacré par l’arrêt Google Spain c. AEPD de la Cour de justice de l’Union européenne en 2014 (affaire C-131/12).
Pour un e-commerçant ou une marque DTC, ce droit ne se limite pas à supprimer un compte client : il couvre aussi les avis produits, les commentaires, les mentions dans des newsletters archivées, les fiches CRM, les segments d’audience, les logs de navigation et parfois les indexations Google. Le non-respect expose à des sanctions administratives pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial (le montant le plus élevé étant retenu), conformément à l’article 83 du RGPD.
Analogie
Imaginez une boutique physique dont les murs seraient couverts de photos de clients, de tickets de caisse et de fiches de commande. Le droit à l’oubli, c’est le client qui revient et demande : « Décrochez mon portrait, retirez mon ticket, et cessez de raconter mes achats à voix haute. » Le commerçant doit non seulement retirer l’affichage, mais aussi s’assurer que les copies stockées en réserve, chez l’imprimeur et chez le photographe partenaire soient détruites ou anonymisées. En ligne, la « réserve » s’appelle serveurs, sauvegardes, CDP, entrepôts de données et prestataires SaaS.
Formule
Le traitement d’une demande d’effacement suit un délai légal strict :
Délai de réponse = 1 mois calendaire, prolongeable à 3 mois si la demande est complexe ou multiple
Et la sanction potentielle se calcule ainsi :
Amende maximale = max(20 000 000 €, 4 % du CA annuel mondial)
Exemple concret : une marque DTC réalisant 50 M€ de CA mondial risque jusqu’à 2 M€ d’amende (4 % de 50 M€), car 2 M€ < 20 M€. Une marque à 600 M€ de CA risque 24 M€, car 24 M€ > 20 M€.
Tableau comparatif
| Critère | Droit à l’oubli (RGPD, UE) | Droit à l’effacement (France, LIL) | Suppression classique en base |
|---|---|---|---|
| Base légale | Article 17 RGPD | Loi Informatique et Libertés | Politique interne |
| Champ | UE/EEE + extraterritorialité | France | Variable |
| Délai de réponse | 1 mois (extensible à 3) | 1 mois (extensible à 2) | Aucun délai légal |
| Effet sur les sauvegardes | Effacement ou anonymisation | Idem | Souvent ignoré |
| Sanction | Jusqu’à 20 M€ ou 4 % CA | Jusqu’à 20 M€ ou 4 % CA | Aucune sanction CNIL directe |
| Exception | Liberté d’expression, obligation légale | Idem | Aucune |
Application en DTC / e-commerce
1. Avis clients et UGC. Un client peut demander la suppression de son avis publié sur votre site ou sur une place de marché. Vous devez retirer le contenu, mais aussi empêcher sa réindexation et le supprimer de vos flux partenaires.
2. Fichiers CRM et segmentation. Si un prospect demande l’oubli, vous devez le supprimer de vos listes, de vos audiences publicitaires (Meta, Google, TikTok), de vos outils d’emailing et de vos entrepôts de données. Attention : les segments « lookalike » déjà exportés doivent être purgés ou reconstruits.
3. Indexation Google. Le droit à l’oubli inclut le déréférencement. En 2023, Google a reçu plus de 1,7 million de demandes de déréférencement dans l’UE depuis 2014, avec un taux d’acceptation d’environ 48 %. Pour une marque, cela signifie surveiller les résultats de recherche associés à un nom, un produit ou une ancienne campagne.
4. Données de commande et facturation. Vous ne pouvez pas tout effacer : les factures doivent être conservées 10 ans en France (obligation comptable). Le droit à l’oubli s’applique donc « sous réserve » des obligations légales. La bonne pratique est de minimiser : ne garder que les données strictement nécessaires et anonymiser le reste.
5. Prestataires et sous-traitants. Vous restez responsable du respect du droit à l’oubli même si vos données sont chez Shopify, Klaviyo, Segment ou un transporteur. Le contrat de sous-traitance (article 28 RGPD) doit prévoir un délai de suppression et une assistance documentée.
6. Délai et preuve. Toute demande doit être traitée dans 1 mois. Vous devez conserver une preuve de la demande, de la vérification d’identité et de l’action réalisée. En cas de contrôle CNIL, l’absence de registre des demandes est un facteur aggravant.
Erreurs fréquentes
- Confondre suppression de compte et droit à l’oubli. Supprimer un compte ne supprime pas les données dans les sauvegardes, les logs, les exports marketing et les outils tiers.
- Répondre « non » par principe. Le refus doit être motivé et limité aux exceptions légales (obligation comptable, intérêt public, liberté d’expression).
- Ignorer les sous-traitants. Une demande d’effacement doit être propagée à tous les destinataires des données, sauf exception.
- Négliger les délais. Un mois, c’est court. Sans processus automatisé, les demandes s’accumulent et deviennent un risque.
- Oublier les données indirectes. Adresses IP, identifiants publicitaires, cookies, empreintes d’appareil : tout cela peut constituer une donnée personnelle.
- Croire que le droit à l’oubli est absolu. Il ne prime pas sur la liberté d’information, les obligations légales ou la défense en justice.
Termes liés
- RGPD (Règlement général sur la protection des données) : cadre européen depuis mai 2018.
- CNIL : autorité française de contrôle.
- Déréférencement : retrait d’un résultat de moteur de recherche.
- Droit d’accès : préalable fréquent au droit à l’oubli.
- Droit de rectification : corriger avant d’effacer.
- Anonymisation : alternative à l’effacement lorsque la conservation est justifiée.
- Registre des traitements : document obligatoire listant vos traitements de données.
- Privacy by design : intégrer la protection des données dès la conception.
- DPO (délégué à la protection des données) : interlocuteur clé pour les demandes complexes.
- Consentement : base légale fréquente en DTC, mais révocable à tout moment.