RGPD droit à l’oubli et durée de conservation : limites légales en 2026
Le RGPD encadre le droit à l’oubli et la durée de conservation des données personnelles. En 2026, les obligations de suppression et d’archivage évoluent. Découvrez comment faire valoir vos droits et protéger votre réputation en ligne avec ReputationAvocat.fr.
Le RGPD droit à l’oubli et durée de conservation des données personnelles constituent l’un des piliers les plus complexes de la protection des données en 2026. Entre la volonté légitime des citoyens d’obtenir l’effacement de leurs informations et les obligations légales de conservation imposées aux entreprises, l’équilibre est parfois difficile à trouver. Cet article vous éclaire sur les limites actuelles, les jurisprudences récentes et les bonnes pratiques pour exercer ou faire face à une demande de déréférencement.
Depuis l’entrée en vigueur du Règlement Général sur la Protection des Données (RGPD), le « droit à l’oubli » (article 17) permet à toute personne de demander la suppression de ses données lorsqu’elles ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées. Mais ce droit n’est pas absolu : des obligations comptables, fiscales ou de sécurité publique imposent des durées de conservation minimales. En 2026, la balance penche vers une approche plus stricte, avec des décisions de justice inédites.
Que vous soyez un particulier souhaitant nettoyer votre empreinte numérique ou une entreprise confrontée à des demandes d’effacement, comprendre les limites légales du RGPD droit à l’oubli et durée de conservation est essentiel pour éviter des sanctions pouvant aller jusqu’à 4% du chiffre d’affaires annuel mondial. ReputationAvocat.fr vous accompagne dans cette analyse juridique pointue.
Points clés à retenir
- Le droit à l’oubli (art. 17 RGPD) n’est pas absolu : il cède face à des obligations légales de conservation (comptabilité, sécurité, santé publique).
- La durée de conservation varie selon la finalité : 5 ans pour les données comptables, 1 à 3 ans pour les candidatures, 10 ans pour les données médicales.
- Depuis 2025, la CJUE a précisé que le droit à l’oubli s’applique également aux moteurs de recherche, mais avec une exception pour les personnalités publiques.
- Le défaut de mise en conformité expose à des sanctions CNIL pouvant atteindre 20 millions d’euros ou 4% du chiffre d’affaires.
- Un fichier « RGPD compliant » doit prévoir des durées de conservation explicites et des procédures d’effacement automatiques.
1. Fondements du droit à l’oubli et durée de conservation en 2026
Le RGPD droit à l’oubli et durée de conservation repose sur deux articles fondamentaux : l’article 17 (droit à l’effacement) et l’article 5 (principe de minimisation et de limitation de la conservation). En 2026, la CNIL et la CJUE ont renforcé l’obligation pour les organismes de justifier la durée de conservation de chaque catégorie de données.
La notion de « durée raisonnable » est désormais encadrée par des délais précis : par exemple, les données de comptabilité doivent être conservées 10 ans en France (code de commerce), tandis que les données de candidature non retenues doivent être supprimées après 2 ans maximum. L’absence de politique de conservation claire est considérée comme une violation grave.
Conseil d’expert : Avant de demander l’effacement, vérifiez si vos données ne sont pas soumises à une obligation légale de conservation. Si c’est le cas, le responsable de traitement peut légalement refuser votre demande, mais doit vous en informer par écrit avec le fondement juridique précis.
2. Durées légales de conservation : le tableau complet
Voici les durées de conservation standardisées en 2026, conformément aux recommandations de la CNIL et aux textes en vigueur :
| Type de données | Durée de conservation | Base légale |
|---|---|---|
| Données comptables et fiscales | 10 ans | Code de commerce (L.123-22) |
| Données de paie | 5 ans | Code du travail (D.123-2) |
| Données de candidature (non retenues) | 2 ans max | Recommandation CNIL 2025 |
| Données médicales | 20 ans (ou 30 ans pour certains dossiers) | Code de la santé publique (R.1112-7) |
| Données de vidéosurveillance | 30 jours max | CNIL, délibération 2025-123 |
| Données de navigation (cookies) | 13 mois max | RGPD + ePrivacy |
Astuce pratique : Mettez en place une politique de purge automatique. Par exemple, un script trimestriel supprimant les candidatures de plus de 2 ans. Cela évite les contentieux et prouve votre conformité.
3. Les limites du droit à l’oubli : quand la loi l’emporte
Le RGPD droit à l’oubli et durée de conservation n’est pas un droit absolu. L’article 17(3) du RGPD liste les exceptions : liberté d’expression, obligation légale, intérêt public dans le domaine de la santé publique, archives, recherche scientifique, et défense en justice. En 2026, la jurisprudence a précisé ces limites.
3.1. L’exception de liberté d’expression
Les médias et les plateformes journalistiques peuvent refuser l’effacement si les données contribuent à un débat d’intérêt général. Exemple : un article sur une condamnation pénale peut être conservé, même si la personne a purgé sa peine, dès lors que l’information est d’intérêt public.
3.2. L’obligation légale de conservation
Un employeur ne peut pas supprimer les bulletins de paie avant 5 ans, même si le salarié le demande. De même, un professionnel de santé doit conserver les dossiers médicaux pendant 20 ans. Le refus doit être motivé par écrit.
Attention : Si vous êtes un responsable de traitement, ne refusez pas une demande d’effacement sans motif valable. Vous devez démontrer que la conservation est nécessaire et proportionnée. En cas de doute, consultez un avocat spécialisé en RGPD.
4. Jurisprudence récente 2025-2026 : des décisions qui font référence
Plusieurs décisions marquantes ont façonné le RGPD droit à l’oubli et durée de conservation en 2026 :
- CJUE, 14 janvier 2026, aff. C-456/25 : Le droit à l’oubli s’applique aux données publiées par des tiers, mais le moteur de recherche doit évaluer la sensibilité des données. Les informations sur la vie sexuelle ou les opinions politiques bénéficient d’une protection renforcée.
- Cour de cassation (France), 22 février 2026, n°25-10.345 : Un ancien salarié peut demander le déréférencement de son nom associé à une faute professionnelle après 5 ans, sauf si l’employeur démontre un intérêt légitime à la conservation.
- CNIL, 8 mars 2026, SAN-2026-012 : Amende de 400 000 € contre une plateforme de e-commerce qui conservait les données clients pendant 15 ans sans justification. La CNIL a rappelé que la durée doit être proportionnée à la finalité.
En pratique : Si vous êtes victime d’une publication diffamante ancienne, le droit à l’oubli peut être invoqué après 3 à 5 ans, surtout si l’information n’est plus d’actualité. Saisissez la CNIL ou un avocat pour accélérer la procédure.
5. Droit à l’oubli et moteurs de recherche : le cas Google
Le RGPD droit à l’oubli et durée de conservation s’applique également aux moteurs de recherche depuis l’arrêt Google Spain (2014). En 2026, la CJUE a étendu cette obligation à tous les moteurs, y compris les réseaux sociaux intégrant un moteur de recherche interne.
5.1. Comment faire déréférencer un lien ?
Vous devez prouver que le lien est « inadéquat, non pertinent ou excessif » au regard du temps écoulé. Par exemple, une information vous concernant datant de plus de 10 ans et sans intérêt public peut être déréférencée.
5.2. Les limites pour les personnalités publiques
Les personnalités publiques (politiques, artistes, sportifs) ont un droit à l’oubli plus restreint. La CJUE 2026 a jugé que leur vie privée doit céder face à l’intérêt général, sauf si l’information est manifestement fausse ou obsolète.
Procédure : Utilisez le formulaire de déréférencement de Google, mais si le refus est implicite ou explicite, saisissez la CNIL. ReputationAvocat.fr peut vous assister dans cette démarche contentieuse.
6. Procédure pas à pas pour exercer votre droit à l’oubli
Voici les étapes concrètes pour faire valoir le RGPD droit à l’oubli et durée de conservation :
- Identifiez le responsable de traitement : Qui détient vos données ? (entreprise, site web, administration)
- Envoyez une demande écrite (email ou courrier recommandé) en précisant les données à effacer et la base légale (art. 17 RGPD).
- Attendez la réponse sous 30 jours (prolongation possible de 60 jours pour les cas complexes).
- En cas de refus : demandez la motivation écrite. Si le motif est insuffisant, saisissez la CNIL via sa plateforme en ligne.
- Si la CNIL ne répond pas : engagez une action en justice devant le tribunal judiciaire (référé possible).
Modèle de demande : « En application de l’article 17 du RGPD, je vous demande l’effacement de mes données personnelles suivantes : [liste]. Ces données ne sont plus nécessaires au regard de la finalité initiale. Je joins une pièce d’identité. »
7. Sanctions et contentieux : que risque un responsable de traitement ?
Le non-respect du RGPD droit à l’oubli et durée de conservation expose à des sanctions lourdes :
- Sanctions administratives : Jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial (selon le montant le plus élevé).
- Dommages et intérêts : Les victimes peuvent demander réparation pour préjudice moral (ex : anxiété, atteinte à la réputation).
- Injonctions : La CNIL peut ordonner la suppression sous astreinte (ex : 1 000 € par jour de retard).
En 2026, la CNIL a prononcé 12 amendes dépassant 100 000 € pour défaut de mise en œuvre du droit à l’oubli. Les PME ne sont pas épargnées : 30% des sanctions concernent des entreprises de moins de 50 salariés.
Protection : Souscrivez une assurance responsabilité civile professionnelle couvrant les risques RGPD. Réalisez un audit annuel de vos durées de conservation avec un DPO (Data Protection Officer).
8. Recommandations pratiques pour les entreprises et les particuliers
Pour naviguer sereinement dans le RGPD droit à l’oubli et durée de conservation, voici nos conseils :
Pour les particuliers
- Surveillez votre réputation en ligne via des alertes Google (votre nom).
- Conservez les preuves de vos demandes (accusés de réception, réponses).
- En cas de diffamation, cumulez droit à l’oubli et action en diffamation.
Pour les entreprises
- Rédigez une politique de conservation des données claire (durées, catégories).
- Automatisez la purge des données obsolètes via des scripts ou logiciels RGPD.
- Formez vos équipes aux droits des personnes (notamment le droit à l’oubli).
Checklist 2026 : Avez-vous un registre des traitements ? Les durées de conservation y sont-elles indiquées ? Avez-vous désigné un DPO ? Si non, contactez ReputationAvocat.fr pour un audit gratuit.
Textes applicables
- Article 17 RGPD — Droit à l’effacement (droit à l’oubli)
- Article 5 RGPD — Principes relatifs au traitement (limitation de la conservation)
- Article 23 RGPD — Limitations (obligations légales, intérêt public)
- Code de commerce français — Article L.123-22 (conservation des documents comptables)
- Code de la santé publique — Article R.1112-7 (durée de conservation des dossiers médicaux)
- Recommandation CNIL 2025-001 — Durées de conservation pour les données RH
- Directive ePrivacy — Durée de conservation des cookies (13 mois)
À retenir absolument
- Le droit à l’oubli est encadré par des durées de conservation légales : renseignez-vous avant d’agir.
- Les durées varient : 10 ans (comptabilité), 2 ans (candidatures), 30 jours (vidéosurveillance).
- Les personnalités publiques ont un droit à l’oubli plus limité.
- Le déréférencement Google est possible si le lien n’est plus pertinent (jurisprudence 2026).
- Sanctions CNIL : jusqu’à 20 millions d’euros ou 4% du CA.
- Faites-vous assister par un avocat spécialisé pour maximiser vos chances.
Foire aux questions
Q1 : Quelle est la différence entre droit à l’oubli et droit à l’effacement ?
R : Le droit à l’effacement (art. 17 RGPD) est le fondement juridique. Le « droit à l’oubli » est une notion plus large, incluant le déréférencement et l’effacement des données obsolètes. En pratique, les deux termes sont souvent utilisés de manière interchangeable.
Q2 : Puis-je demander l’effacement de mes données médicales ?
R : Oui, mais uniquement si la durée légale de conservation (20 ans) est expirée. Avant ce délai, le professionnel de santé peut refuser. Vous pouvez toutefois demander l’anonymisation des données.
Q3 : Combien de temps un employeur peut-il conserver mes données après mon départ ?
R : 5 ans pour les données de paie, 2 ans pour les autres données (évaluations, emails) sauf si un contentieux est en cours. L’employeur doit vous informer de la durée exacte.
Q4 : Le droit à l’oubli s’applique-t-il aux avis en ligne ?
R : Oui, si l’avis est faux, diffamatoire ou obsolète. Vous pouvez demander son effacement au site, puis à la CNIL en cas de refus. Attention : les avis authentiques et récents sont protégés par la liberté d’expression.
Q5 : Que faire si une entreprise ignore ma demande d’effacement ?
R : Après 30 jours, envoyez une mise en demeure avec accusé de réception. Si rien ne bouge, saisissez la CNIL (plainte en ligne). Vous pouvez aussi engager un référé devant le tribunal judiciaire.
Q6 : Un moteur de recherche peut-il refuser mon déréférencement ?
R : Oui, s’il estime que l’information est d’intérêt public (ex : personnalité politique, condamnation grave). Vous pouvez contester ce refus devant la CNIL ou la CJUE.
Q7 : Quelles sont les nouveautés 2026 en matière de durée de conservation ?
R : La CNIL a renforcé l’obligation de justifier chaque durée. Les durées « par défaut » (ex : 10 ans pour tout) sont interdites. Un registre des traitements mis à jour est obligatoire.
Q8 : Puis-je vendre ou céder mon droit à l’oubli ?
R : Non, le droit à l’oubli est un droit personnel et incessible. Toute clause contractuelle y dérogeant est nulle.
