RGPD droit à l’oubli : comment exercer ce droit en 2026

1. Fondement juridique : l’article 17 RGPD et ses évolutions en 2026

Le RGPD droit à l’oubli est consacré par l’article 17 du règlement (UE) 2016/679. Il permet à toute personne physique d’obtenir l’effacement de données personnelles la concernant sans délai. En 2026, ce texte a été précisé par plusieurs décisions de la CJUE et par les lignes directrices du Comité européen de la protection des données (CEPD).

Les six motifs d’effacement

L’article 17.1 énumère les cas où le responsable du traitement est tenu d’effacer les données :

• Les données ne sont plus nécessaires aux finalités pour lesquelles elles ont été collectées
• La personne retire son consentement et il n’existe pas d’autre fondement juridique
• La personne s’oppose au traitement (article 21) et il n’existe pas de motif légitime impérieux
• Les données ont été traitées illicitement
• Les données doivent être effacées pour respecter une obligation légale
• Les données ont été collectées auprès d’un enfant (offre de services de la société de l’information)

« En 2026, la CJUE a rappelé que le droit à l’oubli n’est pas absolu. Il doit être mis en balance avec la liberté d’information et l’intérêt public. Mais toute restriction doit être interprétée strictement. » — Maître Delphine Roussel, avocate en droit du numérique.

2. Conditions d’exercice du droit à l’oubli

Pour invoquer le RGPD droit à l’oubli, vous devez être une personne physique identifiée ou identifiable. Le droit s’applique à toutes les données personnelles, qu’elles soient publiées sur un site web, un moteur de recherche, un réseau social ou un annuaire professionnel.

Les limites à connaître

L’article 17.3 prévoit des exceptions : liberté d’expression et d’information, obligation légale, motif d’intérêt public dans le domaine de la santé, archives à des fins scientifiques, ou encore constatation, exercice ou défense de droits en justice. En 2026, la jurisprudence a notamment précisé que les décisions de justice anonymisées peuvent être maintenues dans les bases de données juridiques si elles présentent un intérêt public majeur.

« Attention : le droit à l’oubli ne permet pas d’effacer un simple fait historique ou une information d’intérêt général. Par exemple, une condamnation pénale définitive peut être conservée dans les archives judiciaires, mais son référencement sur Google peut être limité dans le temps. » — Maître Julien Lefèvre, spécialiste en réputation numérique.

3. Procédure pas à pas : comment formuler votre demande

Exercer le RGPD droit à l’oubli nécessite une démarche structurée. Voici les étapes à suivre pour maximiser vos chances d’obtenir satisfaction.

Étape 1 : Identifiez le responsable du traitement

Il peut s’agir du webmaster d’un site, de la plateforme d’avis, du moteur de recherche ou du réseau social. Consultez les mentions légales pour trouver l’adresse de contact DPO (délégué à la protection des données).

Étape 2 : Rédigez une demande formelle

Votre courrier (ou email) doit contenir :

• Votre identité et coordonnées
• L’URL précise des données à effacer
• Le motif d’effacement (ex : retrait de consentement, données obsolètes)
• La preuve que les données ne sont plus nécessaires ou sont traitées illicitement
• Une copie de votre pièce d’identité (pour vérification)

« Un modèle de lettre est disponible sur ReputationAvocat.fr. N’oubliez pas de conserver une preuve d’envoi (AR ou accusé de lecture). Le responsable a un mois pour répondre. » — Maître Sophie Khelifa, avocate associée.

Étape 3 : Suivi et relance

Si vous n’obtenez pas de réponse dans le délai légal (1 mois, prolongeable de 2 mois en cas de complexité), adressez une relance. En cas de refus motivé, vous pouvez saisir la CNIL ou le tribunal compétent.

4. Délais, réponse du responsable et voies de recours

Le RGPD impose au responsable de traiter votre demande dans un délai d’un mois (article 12.3). En 2026, la CNIL a rappelé que ce délai court à compter de la réception de la demande complète. Si le responsable estime que la demande est infondée, il doit motiver son refus et informer la personne de son droit de saisir l’autorité de contrôle.

Les recours possibles

• Saisine de la CNIL : via le formulaire en ligne « Plainte » (article 77 RGPD). La CNIL peut adresser une mise en demeure, prononcer une sanction (amende jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial).
• Action en justice : devant le tribunal judiciaire (référé ou fond). L’avocat est obligatoire. Vous pouvez demander des dommages et intérêts pour préjudice moral.
• Médiation : certaines plateformes proposent un médiateur (ex : mediation-consommation.eu).

« En 2026, la CJUE a confirmé que les moteurs de recherche sont responsables du traitement de données contenues dans les résultats de recherche. Vous pouvez donc les attaquer directement, même si le site source refuse de supprimer la donnée. » — Maître Antoine Berger, avocat au barreau de Paris.

5. Cas pratiques : déréférencement, faux avis et données pénales

Le RGPD droit à l’oubli s’applique à des situations variées. Voici trois cas concrets traités par notre cabinet en 2026.

Cas n°1 : Déréférencement d’un article de presse obsolète

Un chef d’entreprise condamné pour fraude fiscale en 2010, mais dont la peine est effacée depuis 2015, constate que l’article remonte en première page de Google. Après une demande de déréférencement basée sur l’obsolescence des données et l’absence d’intérêt public actuel, Google accepte de retirer le lien. La CJUE a validé cette approche dans l’arrêt GC et AF (2025).

Cas n°2 : Suppression de faux avis sur un professionnel

Un chirurgien-dentiste subit des avis diffamatoires sur Google Maps. La plateforme refuse de supprimer les avis, invoquant la liberté d’expression. Notre cabinet a obtenu la suppression après avoir démontré que les avis étaient frauduleux (IP identique, comptes fictifs). Le RGPD droit à l’oubli a été invoqué car les données (nom, photo) étaient traitées sans consentement valable.

Cas n°3 : Effacement de données pénales dans les moteurs de recherche

Un particulier ayant bénéficié d’une relaxe en 2022 voit encore son nom associé à l’affaire sur Bing. La CNIL a ordonné le déréférencement au motif que le maintien des données portait atteinte à la présomption d’innocence. Décision confirmée par le tribunal administratif en mars 2026.

« Chaque cas est unique. Il faut démontrer que la donnée n’est plus pertinente, qu’elle est excessive ou qu’elle cause un préjudice disproportionné. Notre rôle d’avocat est de construire cette argumentation juridique. » — Maître Claire Delmas, avocate en droit des données.

6. Jurisprudence 2026 : les décisions qui font évoluer le droit

Plusieurs décisions récentes ont précisé la portée du RGPD droit à l’oubli :

• CJUE, 12 février 2026, aff. C-456/24 : Le droit à l’oubli s’étend aux données publiées par des tiers, même si le site source est légal. Le moteur de recherche doit évaluer la proportionnalité au cas par cas.
• CEDH, 8 janvier 2026, n° 78945/23 : La conservation indéfinie d’une condamnation pénale sur un site d’archives publiques viole l’article 8 de la Convention (droit à la vie privée).
• Conseil d’État, 3 mars 2026, n° 456123 : La CNIL peut ordonner le déréférencement mondial si le droit à l’oubli est manifeste et que l’intérêt public est faible.

« La tendance jurisprudentielle de 2026 est claire : le droit à l’oubli est renforcé face aux moteurs de recherche, mais les juges exigent une analyse concrète du préjudice et de l’intérêt public. » — Maître David Fontana, avocat en contentieux numérique.

7. Rôle de la CNIL et sanctions renforcées

La CNIL est l’autorité de contrôle compétente en France. En 2026, elle a renforcé son action :

• Sanctions pécuniaires : amende moyenne de 150 000 € pour les manquements au droit à l’oubli (contre 80 000 € en 2024)
• Injonctions sous astreinte : jusqu’à 10 000 € par jour de retard
• Publication des décisions : les noms des responsables sanctionnés sont publiés (effet dissuasif)

La CNIL a également publié des recommandations actualisées en mars 2026 : formulaire type de demande, délais de réponse, et procédure simplifiée pour les données manifestement obsolètes.

« Saisir la CNIL est une étape obligatoire avant d’engager une action en justice ? Non, mais c’est fortement recommandé si le responsable est une entreprise privée. La CNIL peut obtenir une suppression sans frais pour le plaignant. » — Maître Hélène Moreau, avocate en protection des données.

8. Stratégies pour les professionnels : anticiper et réagir

Pour les entreprises, le RGPD droit à l’oubli est à double tranchant : d’un côté, il protège les clients ; de l’autre, il peut être utilisé contre elles (avis négatifs, anciens litiges). Voici comment gérer ces demandes :

Mettre en place une procédure interne

• Désigner un DPO (délégué à la protection des données)
• Créer un formulaire de réclamation dédié sur le site
• Former le personnel à traiter les demandes sous 1 mois

Répondre aux demandes abusives

Certaines demandes peuvent être frauduleuses (ex : concurrent qui demande la suppression d’avis légitimes). Vous pouvez refuser en motivant votre décision : intérêt public, liberté d’expression, ou nécessité de conservation pour la défense en justice.

« En tant qu’avocat, je conseille à mes clients professionnels de ne pas céder systématiquement. Un refus bien motivé, appuyé sur l’article 17.3, peut être opposé. Mais il faut être prêt à justifier sa position devant la CNIL. » — Maître Vincent Caron, avocat en droit des affaires.