Commencer par mesurer, pas par agir
Avant d'envoyer quoi que ce soit, il faut savoir ce qui est exposé. Trois recherches, dix minutes :
- Votre nom entre guillemets dans Google : `"Prénom Nom"`. Puis avec votre ville, puis avec votre employeur.
- Votre numéro de téléphone, au format `0612345678` puis `06 12 34 56 78`. Les deux donnent des résultats différents.
- Votre adresse email, sur Have I Been Pwned — ou depuis notre vérificateur de fuites, qui interroge la même base sans stocker votre adresse.
Notez ce que vous trouvez dans un tableau : le site, ce qu'il expose, et l'adresse de contact. Vous en aurez besoin, et surtout ça vous évitera de tourner en rond.
Distinguez dès maintenant deux catégories, parce qu'elles ne se traitent pas pareil :
- Ce que vous avez publié vous-même (réseaux sociaux, forums, ancien blog) : vous supprimez directement, c'est le plus rapide et souvent le plus visible.
- Ce que d'autres ont publié sur vous (annuaires, agrégateurs, courtiers en données) : il faut exercer votre droit à l'effacement.
Le droit qui rend tout ça possible
L'article 17 du RGPD instaure le droit à l'effacement. Concrètement, vous pouvez demander à tout organisme détenant vos données personnelles de les supprimer, sans avoir à motiver longuement votre demande, et sans payer.
Deux points de procédure à connaître, parce qu'ils déterminent votre calendrier :
- L'article 12.3 accorde un mois au responsable de traitement pour répondre. Ce délai est prolongeable de deux mois pour les demandes complexes, à condition qu'il vous en informe.
- Le silence n'est pas un refus tacite : passé le délai, vous pouvez saisir la CNIL.
Autrement dit : toute démarche sérieuse s'étale sur plusieurs semaines. Un service qui vous promet un nettoyage en 48 heures se heurterait au même délai légal que vous.
Les annuaires français
C'est le point aveugle le plus courant, parce que ces sites sont anciens, bien référencés, et que beaucoup de gens ignorent y figurer.
Les annuaires téléphoniques. Si vous avez une ligne fixe, vous y êtes probablement par défaut. La suppression passe par votre opérateur : demandez l'inscription en liste rouge, qui vous retire des annuaires et des services de renseignements. C'est gratuit chez la plupart des opérateurs.
Les sites d'annuaire inversé permettent de retrouver une identité à partir d'un numéro. Chacun a son propre formulaire d'opposition — cherchez « opposition » ou « supprimer mes données » en pied de page.
Les sites de retrouvailles (anciens camarades, anciens collègues) conservent des profils créés il y a parfois quinze ans, souvent oubliés. Si vous ne retrouvez plus vos identifiants, la demande d'effacement RGPD fonctionne aussi.
Cas particulier des dirigeants d'entreprise. Si vous êtes gérant ou président d'une société, votre nom, votre année de naissance et parfois votre adresse figurent dans les registres légaux, repris par de nombreux sites d'information d'entreprise. Ces données-là relèvent d'une publicité légale : le droit à l'effacement ne s'applique pas de la même façon, puisque la publication répond à une obligation légale. Vous pouvez en revanche demander aux sites qui les republient de ne pas les indexer, ou solliciter la protection de votre adresse personnelle auprès du greffe.
Le déréférencement Google
Point de vocabulaire important : le déréférencement retire un résultat de la recherche Google, il ne supprime pas la page. Le contenu reste en ligne, il devient simplement beaucoup plus difficile à trouver.
C'est souvent le geste le plus rentable, parce que 90 % de l'exposition réelle passe par une recherche sur votre nom.
La demande se fait depuis le formulaire dédié de Google, en distinguant :
- les résultats contenant des données personnelles (adresse, téléphone, identifiants) ;
- les résultats relevant du droit à l'oubli, pour des informations devenues obsolètes ou non pertinentes.
Google arbitre entre votre vie privée et l'intérêt du public à accéder à l'information. Une demande sur une adresse personnelle passe presque toujours ; une demande sur un article de presse vous concernant, rarement. En cas de refus, la CNIL peut être saisie.
Faites la même démarche sur Bing, qui a son propre formulaire. Les autres moteurs pèsent peu en France, mais si vous voulez être complet, vérifiez aussi Qwant et DuckDuckGo — qui s'appuient largement sur les index de Google et Bing.
Les courtiers en données
Un courtier en données (*Incogni en supprime les traces via demandes RGPD/CCPA.">data broker*) est une entreprise dont le métier est d'agréger et de revendre des profils. Ils ne sont pas visibles : vous ne les trouverez pas en cherchant votre nom, parce que leurs bases sont vendues à des professionnels, pas publiées.
C'est la partie la plus ingrate du travail :
- il faut identifier les courtiers, qui ne se signalent pas ;
- écrire à chacun séparément ;
- relancer ceux qui ne répondent pas dans le délai légal ;
- recommencer régulièrement, parce qu'ils recollectent en continu depuis des sources publiques et commerciales.
C'est ce dernier point qui décourage la plupart des gens : ce n'est pas une tâche, c'est un abonnement de temps. Un profil supprimé se reconstitue.
Notre tutoriel dédié détaille la procédure pas à pas. Et si vous préférez automatiser, nous comparons honnêtement les deux options dans Incogni ou le faire soi-même — y compris les cas où le service ne vaut pas son prix.
Le démarchage téléphonique
C'est souvent le symptôme qui déclenche toute la démarche, et il se traite à part.
Bloctel est le service officiel d'opposition au démarchage téléphonique. L'inscription est gratuite et vaut trois ans. Elle n'empêche pas les appels des professionnels avec lesquels vous avez un contrat en cours, ni les instituts de sondage.
Surtout : Bloctel n'a aucun effet sur les escrocs, qui ne consultent pas la liste. Si les appels persistent, ce ne sont probablement plus des démarcheurs mais des tentatives de fraude — auquel cas la bonne réaction est de ne pas décrocher, et de signaler le numéro au 33700.
Ce qui ne se supprime pas
Autant le savoir avant d'y passer des heures :
- Les données déjà fuitées. Ce qui a circulé après une fuite est copié, rediffusé, archivé. Aucune demande RGPD n'atteint ces copies. La seule réponse utile est défensive : changer les mots de passe concernés, activer la double authentification.
- Les mentions légales obligatoires : publications au registre du commerce, annonces légales, décisions de justice publiées.
- Les archives journalistiques. La liberté d'information prime dans la plupart des cas.
- Ce qu'un tiers a légitimement publié et qui vous concerne sans être une donnée personnelle sensible.
L'ordre qui marche
Si vous ne deviez faire que trois choses, dans cet ordre :
- Déréférencement Google sur les résultats exposant vos coordonnées — c'est le plus visible pour un effort limité.
- Liste rouge et opposition dans les annuaires — c'est ce qui alimente une bonne partie des courtiers.
- Bloctel, si le démarchage est votre problème principal.
Le reste — courtiers en données — est un travail de fond, à mener sur plusieurs mois ou à déléguer.
À quelle fréquence recommencer
Un trimestre est un bon rythme. Reprenez les trois recherches du début : si votre nom ne fait ressortir que ce que vous avez choisi de publier, vous êtes à jour. Sinon, vous savez quoi faire.
C'est le point que personne n'aime entendre : la suppression de données n'est pas un projet avec une fin, c'est un entretien.