Avant d'envoyer : trois vérifications
Trouvez le bon destinataire. Les organismes d'une certaine taille ont un délégué à la protection des données (DPO), dont les coordonnées figurent dans la politique de confidentialité. Écrire au DPO plutôt qu'au support général accélère nettement le traitement. À défaut, cherchez une adresse du type `privacy@`, `dpo@` ou `rgpd@`.
Préparez une preuve d'identité. L'organisme a le droit de vérifier que vous êtes bien la personne concernée — c'est une protection pour vous, pas une manœuvre dilatoire. Anticipez en joignant une pièce d'identité caviardée : masquez tout sauf vos nom, prénom et photo. Ne transmettez jamais un document d'identité intégral et lisible par email.
Gardez une trace. Email avec accusé de réception, ou courrier recommandé pour les dossiers importants. La date d'envoi fait courir le délai légal, et c'est elle que vous invoquerez en cas de saisine de la CNIL.
Modèle — version email
À copier tel quel, en remplaçant ce qui est entre crochets.
Objet : Demande d'effacement de données personnelles (article 17 du RGPD)
Madame, Monsieur,
Conformément à l'article 17 du Règlement général sur la protection des données (règlement UE 2016/679), je vous demande de procéder à l'effacement de l'ensemble des données personnelles me concernant que vous détenez.
Mes données d'identification : [Prénom NOM], né(e) le [date], demeurant [adresse], adresse email [email].
Cette demande porte sur l'ensemble des traitements dont vous êtes responsable, y compris les données transmises à d'éventuels sous-traitants ou destinataires tiers. Conformément à l'article 19 du RGPD, je vous remercie de notifier cet effacement à toute personne à qui ces données auraient été communiquées.
Je vous rappelle que vous disposez d'un délai d'un mois à compter de la réception de cette demande pour y répondre, conformément à l'article 12.3 du RGPD.
Vous trouverez ci-joint une copie de ma pièce d'identité, dont les mentions non nécessaires à mon identification ont été masquées.
Dans l'attente de votre confirmation écrite de l'effacement,
[Prénom NOM]
[Date]
Modèle — version courrier recommandé
Même corps de texte, avec un en-tête classique : vos nom et adresse en haut à gauche, ceux du destinataire à droite, la date, puis l'objet. Ajoutez en dernière ligne :
Pièce jointe : copie de pièce d'identité (mentions non nécessaires masquées).
Réservez le recommandé aux dossiers où vous anticipez une résistance, ou lorsque l'enjeu justifie une preuve incontestable de la date d'envoi.
Variante : demander d'abord ce qu'ils ont sur vous
Quand vous ignorez l'étendue des données détenues, l'article 15 (droit d'accès) est souvent un meilleur point de départ. Il oblige l'organisme à vous communiquer les données qu'il traite, leur origine et leurs destinataires — information précieuse, parce qu'elle vous révèle à qui vos données ont été revendues, donc à qui écrire ensuite.
Objet : Demande d'accès à mes données personnelles (article 15 du RGPD)
Madame, Monsieur,
Conformément à l'article 15 du RGPD, je vous demande de me communiquer l'ensemble des données personnelles me concernant que vous traitez, ainsi que : les finalités du traitement, les catégories de données concernées, les destinataires auxquels elles ont été communiquées, la durée de conservation prévue, et la source dont elles proviennent.
[Identification + mention du délai d'un mois + pièce d'identité, comme ci-dessus]
Variante : s'opposer sans tout supprimer
Si vous souhaitez seulement cesser d'être démarché, l'article 21 (droit d'opposition) est plus adapté, et souvent mieux accueilli. Il est absolu en matière de prospection commerciale : l'organisme ne peut pas le refuser ni le discuter.
Conformément à l'article 21 du RGPD, je m'oppose au traitement de mes données personnelles à des fins de prospection commerciale. Je vous rappelle que ce droit d'opposition est absolu en matière de prospection et ne peut faire l'objet d'aucun refus.
Ce qui peut être légitimement refusé
Une demande d'effacement n'est pas inconditionnelle. Le refus est fondé lorsque les données sont nécessaires :
- au respect d'une obligation légale (facturation, comptabilité, obligations sociales) ;
- à la constatation ou à la défense d'un droit en justice ;
- à l'exécution d'un contrat en cours entre vous et l'organisme.
Un commerçant qui conserve vos factures dix ans est dans son droit. En revanche, rien ne l'autorise à continuer de vous démarcher : c'est là que l'article 21 prend le relais.
En cas de silence ou de refus
Passé le délai d'un mois — ou de trois mois si une prolongation vous a été notifiée et motivée — vous pouvez saisir la CNIL. La plainte se dépose en ligne, gratuitement.
Joignez systématiquement : copie de votre demande initiale, preuve de la date d'envoi, et la réponse reçue s'il y en a une. Un dossier complet est traité bien plus vite qu'une plainte sans pièces.
Combien de fois faudra-t-il recommencer
Pour un organisme avec lequel vous avez eu une relation, une fois suffit généralement.
Pour les courtiers en données, non : ils recollectent en permanence à partir de sources publiques et commerciales, et un profil effacé se reconstitue. C'est une démarche à répéter, ce qui explique l'existence de services d'automatisation — dont nous détaillons l'intérêt réel, et les limites, dans notre comparaison entre le faire soi-même et déléguer.