Droit à l'Effacement RGPD : Résultats EDPB 2025
Mis à jour pour 2026
Action d'Application EDPB 2025
Le Comité européen de la protection des données a mené une action majeure en 2025. Elle portait sur l'article 17 du RGPD — le droit à l'effacement. Trente-deux APD de l'UE et de l'EEE ont participé. Toutes ont agi simultanément. L'objectif était de détecter des manquements systémiques, pas des cas isolés.
Cette action est le Cadre de contrôle coordonné, ou CEF. Neuf APD ont depuis ouvert des enquêtes formelles sur la base de ses résultats.
Sept Manquements Récurrents
Le rapport CEF a identifié sept problèmes dans les organisations contrôlées :
- Procédures internes insuffisantes pour traiter les demandes d'effacement
- Rejet trop large de demandes valides
- Charge excessive imposée aux personnes soumettant des demandes
- Incapacité à localiser tous les éléments personnels dans les systèmes
- Délais dépassant la fenêtre de 30 jours prévue par le RGPD
- Retours insuffisants aux personnes sur le résultat de leurs demandes
- Anonymisation défaillante utilisée à la place de la suppression. Les organisations parlaient d'« anonymisation » mais laissaient les éléments traçables.
Le septième point est le plus complexe. Il concerne toute organisation qui utilise cette méthode pour réduire les éléments personnels conservés.
Anonymisation vs. Suppression
Le droit à l'effacement du RGPD n'exige pas toujours une suppression complète. Le considérant 65 autorise cette approche lorsque la suppression n'est pas réalisable. Les sauvegardes et les systèmes d'analyse en sont des exemples courants.
Le CEF montre que cette option est détournée. Des organisations qualifient un traitement d'« anonymisation » pour éviter la suppression réelle. Mais le traitement laisse les éléments toujours traçables.
Le CEPD trace une ligne claire.
La vraie anonymisation signifie que le lien entre les éléments et une personne ne peut pas être reconstitué. Ni le responsable du traitement, ni un tiers ne peut le rétablir. Ces éléments sortent du champ du RGPD. La demande est satisfaite.
La pseudonymisation est différente. La ré-identification reste possible avec la bonne clé. Les éléments personnels existent toujours. La demande n'est pas satisfaite. Les éléments doivent être supprimés ou la clé détruite.
Une Architecture à Deux Couches
Les organisations utilisant cette méthode en analyse ont besoin de deux couches.
Couche 1 — Ingestion : Les éléments personnels bruts arrivent ici. Ces éléments sont soumis aux demandes de suppression. Quand une personne invoque ses droits au titre de l'article 17, les éléments de cette couche sont supprimés.
Couche 2 — Analyse : Seules les sorties anonymisées atteignent cette couche. Si le traitement était complet et irréversible, ces sorties ne sont plus personnelles. Elles ne changent pas à l'arrivée d'une demande de suppression.
Cette architecture ne fonctionne que si l'étape de masquage réussit trois tests.
Premier : irréversible. Les tokens réversibles et les substitutions chiffrées ne sont pas qualifiants.
Deuxième : complet. Tous les types d'identifiants doivent être traités. Les noms seuls ne suffisent pas.
Troisième : documenté. L'organisation doit pouvoir montrer à une APD comment la méthode fonctionne.
Un commerçant qui remplace les noms de clients par des tokens chiffrés a fait de la pseudonymisation — pas une vraie suppression. La couche d'analyse contient toujours des éléments personnels. Les demandes de suppression s'appliquent toujours.
Notre guide de conformité RGPD couvre la base légale de chaque approche. Notre aperçu de la conformité sécurité liste les contrôles nécessaires. Pour un guide étape par étape, voir notre guide d'audit d'anonymisation RGPD.