Introduction : partir ne veut pas dire disparaître
Vous avez résilié votre abonnement télécom il y a quatre ans. Vous recevez encore, deux fois par an, une offre « spéciale ancien client » à votre nom, à votre ancienne adresse postale, avec un numéro de dossier qui existe toujours. Vous avez fermé votre compte sur une boutique en ligne : trois mois plus tard, un e-mail vous annonce que « votre panier vous attend ». Vous vous êtes désinscrit d'une newsletter : vous ne recevez plus rien de cet expéditeur, mais votre adresse est désormais inscrite sur une liste de suppression — une liste qui, par construction, contient votre e-mail pour l'éternité.
Il n'y a pas forcément de malveillance là-dedans. Une entreprise a des obligations comptables, fiscales, de garantie, de preuve en cas de litige. Le droit lui impose de garder certaines traces. Mais entre « ce que la loi oblige à conserver » et « ce qui reste effectivement dans les bases parce que personne n'a programmé la purge », l'écart est considérable.
Le RGPD pose deux principes qui s'appliquent pleinement au moment du départ : la limitation de la conservation (article 5-1-e : les données ne sont gardées que le temps nécessaire à la finalité) et le droit à l'effacement (article 17, popularisé sous le nom de « droit à l'oubli »). La CNIL a publié des référentiels sectoriels — gestion commerciale, gestion des impayés, télécoms — qui chiffrent précisément les durées admises.
Ce guide explique ce qui subsiste réellement après une résiliation, combien de temps, quelles catégories de données vous pouvez exiger de voir supprimées immédiatement, et comment rédiger une demande qui ne finit pas dans un ticket clos sans réponse.
Partie 1 — Les trois vies d'un dossier client
Pour comprendre ce qui vous arrive, il faut connaître le vocabulaire interne des bases de données clients. Un dossier ne passe pas de « actif » à « supprimé ». Il traverse au moins trois états.
La base active
Tant que la relation existe, tout est là : identité, coordonnées, historique de commandes, échanges avec le service client, moyens de paiement partiellement masqués, données de connexion, parfois enregistrements d'appels. C'est la configuration normale.
L'archivage intermédiaire
C'est l'état qui surprend le plus. Après la fin du contrat, le dossier n'est pas détruit : il est sorti de la base active et placé dans un espace à accès restreint, consultable uniquement en cas de besoin précis (litige, contrôle fiscal, réclamation). La CNIL admet explicitement ce mécanisme. Concrètement, vos données existent toujours, mais plus personne ne doit pouvoir les interroger pour faire du marketing.
Dans la pratique, la frontière est poreuse. Beaucoup d'entreprises conservent un « identifiant client » réactivable, précisément pour pouvoir vous reconnaître si vous revenez — et pour vous envoyer des offres de reconquête.
La suppression définitive (ou l'anonymisation)
Dernier état : soit les données disparaissent, soit elles sont anonymisées — c'est-à-dire transformées de façon irréversible pour alimenter des statistiques sans permettre de vous réidentifier. Attention au vocabulaire : la pseudonymisation (remplacer votre nom par un code) n'est pas une anonymisation. Des données pseudonymisées restent des données personnelles au sens du RGPD.
Retenez la question qui tranche tout : « Peut-on, avec les tables conservées, reconstituer qui j'étais ? » Si oui, ce sont encore mes données, et mes droits s'appliquent.
Partie 2 — Combien de temps, légalement ?
Voici les durées de référence les plus souvent rencontrées, telles qu'elles découlent des textes français et des référentiels de la CNIL. Elles ne sont pas des caprices d'entreprise : elles ont une base légale.
| Donnée conservée | Durée usuelle | Fondement |
|---|---|---|
| Factures et pièces comptables | 10 ans | Code de commerce (art. L123-22) |
| Contrats et preuve d'exécution | 5 ans après fin du contrat | Prescription civile (art. 2224 Code civil) |
| Données de prospection (ancien client) | 3 ans après dernier contact | Référentiel CNIL gestion commerciale |
| Données de connexion / trafic (opérateurs) | 1 an | Code des postes et communications électroniques |
| Pièce d'identité collectée pour vérification | Durée du contrôle, puis suppression | Doctrine CNIL |
| Coordonnées bancaires (IBAN) | Jusqu'au dernier paiement + délais de contestation | Référentiel CNIL |
| Enregistrement d'appel au service client | 6 mois maximum en général | Recommandation CNIL |
Deux enseignements pratiques en découlent.
Premier enseignement : la fameuse durée de « 10 ans » que des conseillers invoquent pour tout refuser ne concerne que les documents comptables. Elle ne justifie ni de garder votre adresse e-mail dans une liste marketing, ni de conserver la photo de votre carte d'identité, ni de stocker vos échanges avec le support.
Second enseignement : la limite des trois ans après le dernier contact pour la prospection est la plus utile à connaître. Passé ce délai, une entreprise n'a plus de base pour vous solliciter commercialement. Une « offre spéciale ancien client » quatre ans après résiliation est donc, en principe, hors cadre.
Partie 3 — Résilier proprement : la méthode en six temps
Une résiliation réussie du point de vue de la vie privée ne se joue pas au moment du clic final, mais dans les semaines qui l'entourent.
1. Récupérez avant de partir
Exercez votre droit d'accès (article 15 du RGPD) avant la clôture, pendant que vous avez encore un compte fonctionnel. Vous obtiendrez la liste de ce qui est détenu — et donc la matière de votre future demande d'effacement. Après fermeture, l'exercice reste possible mais devient beaucoup plus lourd : il faut souvent justifier son identité par courrier.
2. Neutralisez les moyens de paiement
Supprimez vous-même l'IBAN et les cartes enregistrées avant de fermer. Puis, côté banque, révoquez le mandat de prélèvement SEPA : la résiliation d'un contrat ne révoque pas automatiquement l'autorisation de prélever. C'est la cause la plus fréquente des débits « fantômes » plusieurs mois après un départ.
3. Désactivez avant de supprimer les connexions tierces
Si vous vous êtes inscrit via un bouton « continuer avec… », le compte survit parfois sous une forme orpheline. Désactivez l'autorisation depuis le fournisseur d'identité, puis supprimez le compte côté service. Dans l'autre ordre, vous laissez un enregistrement que vous ne pourrez plus administrer.
4. Videz le contenu stocké
Photos, documents, messages, avis publiés, listes de souhaits : supprimez-les un par un avant la clôture. Beaucoup de plateformes dissocient la suppression du compte de celle des contenus publiés, qui restent en ligne sous un pseudonyme ou la mention « utilisateur supprimé ».
5. Envoyez une demande d'effacement écrite
C'est l'étape que presque personne ne fait, et c'est la seule qui laisse une trace opposable. Voyez le modèle en partie 5.
6. Vérifiez trois mois plus tard
Notez la date dans un agenda. Si un e-mail commercial arrive, vous avez une preuve datée d'un manquement — et un dossier solide pour une plainte CNIL.
Pour tenir cet historique sans vous reposer sur votre mémoire, un carnet de notes à couverture rigide suffit : une page par service, la date de résiliation, le canal utilisé, la date de relance prévue. Le papier a ici un avantage réel — il ne synchronise rien dans un nuage.
Partie 4 — Le cas particulier des newsletters
Le lien « se désinscrire » fonctionne, mais pas comme vous l'imaginez.
Quand vous cliquez, votre adresse n'est pas effacée : elle est transférée dans une liste de suppression (suppression list), un fichier dont la finalité est justement d'empêcher tout nouvel envoi. C'est l'une des rares situations où la conservation de votre adresse vous protège. Supprimer purement et simplement l'enregistrement créerait un risque de réinscription accidentelle lors du prochain import de fichier.
Ce qui est en revanche contestable :
- Les pixels de suivi. La plupart des newsletters contiennent une image invisible qui signale l'ouverture, l'heure, le client de messagerie et une approximation géographique. Désactivez le chargement automatique des images distantes dans votre application de messagerie : c'est le réglage le plus rentable de tout cet article.
- Les liens tracés. Chaque lien passe par un redirecteur qui enregistre votre clic avant de vous envoyer sur la destination. Rien n'oblige à cliquer : copiez le domaine final et tapez-le.
- La revente ou le partage « partenaires ». Vérifiez la mention au moment de l'inscription. Une fois l'adresse partie, elle est hors de votre portée.
La technique de l'adresse jetable
La vraie parade est en amont. Créez des alias : une adresse différente par service, toutes redirigées vers votre boîte principale. Avantages immédiats :
- Vous savez qui a fui votre adresse quand un spam arrive sur un alias précis.
- Vous coupez un alias sans rien négocier avec personne — la résiliation devient unilatérale.
- Vous ne donnez jamais votre identifiant principal, souvent construit sur votre nom.
Le même raisonnement vaut pour le téléphone. Donner un numéro secondaire pour les livraisons, les SAV et les inscriptions évite que votre ligne principale devienne, comme c'est devenu l'usage, votre identifiant national de fait. Un envoi de SMS anonyme règle d'ailleurs les situations où il faut écrire une fois, sans ouvrir un canal permanent vers vous.
Partie 5 — Rédiger une demande d'effacement qui aboutit
Les demandes refusées le sont presque toujours pour la même raison : elles sont vagues. « Supprimez tout » se heurte immédiatement à l'obligation comptable, et le dossier est clos. Une demande segmentée, elle, est très difficile à rejeter.
Modèle à adapter
Objet : Demande d'effacement — article 17 du RGPD — dossier n° [référence]
Madame, Monsieur,
Suite à la résiliation de mon contrat le [date], je vous demande de procéder à l'effacement des données suivantes, dont la conservation n'est plus nécessaire aux finalités initiales :
- mes coordonnées figurant dans vos fichiers de prospection commerciale, ainsi que leur transmission éventuelle à des tiers ;
- les copies de pièces d'identité et justificatifs de domicile transmis lors de la souscription ;
- les enregistrements téléphoniques de mes échanges avec votre service client ;
- mes coordonnées bancaires, le dernier règlement étant intervenu le [date] ;
- mon compte en ligne et les contenus qui y sont associés.
Je prends acte de ce que les pièces comptables relèvent d'une obligation légale de conservation. Ma demande ne porte pas sur celles-ci.
Je vous demande également de me préciser, conformément à l'article 19 du RGPD, les destinataires auxquels mes données ont été communiquées.
Je vous rappelle le délai d'un mois prévu à l'article 12-3 du RGPD.
Envoyez-la au délégué à la protection des données (DPO) quand il existe — la plupart des grandes entreprises publient son contact dans leur politique de confidentialité — et conservez une preuve d'envoi. Pour les dossiers sensibles, une lettre recommandée reste la pièce la plus solide : un petit lot d'enveloppes à fenêtre et un bloc de papier correct rendent l'exercice moins pénible qu'il n'y paraît.
Si rien ne vient
Passé un mois sans réponse satisfaisante, vous pouvez saisir la CNIL en ligne. La plainte est gratuite, se remplit en quinze minutes, et demande seulement : l'identité de l'organisme, la copie de votre demande initiale, la preuve de son envoi, et l'absence ou l'insuffisance de réponse. C'est précisément pour cela que l'étape 5 de la partie 3 compte autant.
Partie 6 — Les angles morts qu'on oublie systématiquement
Même une résiliation exemplaire laisse des résidus ailleurs que chez l'entreprise concernée.
- Les courtiers en données. Votre dossier a pu être enrichi puis partagé avec des agrégateurs. L'article 19 du RGPD vous donne le droit de connaître les destinataires : utilisez-le, c'est la seule façon de remonter la chaîne.
- Les fichiers d'incidents. En cas d'impayé, vous pouvez figurer dans un fichier interne, voire dans les fichiers de la Banque de France (FICP, FCC). Ceux-ci ont leurs propres durées et leur propre procédure de radiation après régularisation.
- Les sauvegardes. Une suppression en base n'efface pas les jeux de sauvegarde, qui tournent sur des cycles de plusieurs semaines à plusieurs mois. C'est licite, à condition que ces sauvegardes ne soient pas réexploitées.
- Votre propre appareil. Mots de passe enregistrés, factures téléchargées, cookies, applications encore installées. Le ménage local fait partie de la résiliation. Pour les documents papier accumulés (contrats, relevés, courriers de résiliation), un destructeur de documents à coupe croisée vaut mieux qu'un sac-poubelle : les factures portent nom, adresse, référence client et parfois IBAN partiel.
- Les objets restitués ou revendus. Box internet, décodeur, montre connectée, enceinte : réinitialisez en configuration d'usine avant restitution, et retirez l'appareil de votre compte en ligne. Un étui de rangement antistatique pour le matériel à renvoyer évite par ailleurs les litiges sur l'état du produit.
Conclusion : la résiliation est un geste de vie privée
On traite la résiliation comme une formalité administrative — un formulaire à remplir, une économie mensuelle à réaliser. C'est en réalité l'un des rares moments où vous disposez d'un vrai levier : vous n'avez plus rien à attendre de l'entreprise, donc plus rien à perdre en exigeant l'application du droit.
Trois réflexes suffisent à transformer l'habitude :
- Demander ses données avant de partir, jamais après.
- Écrire une demande d'effacement segmentée, qui distingue l'obligation légale du confort commercial.
- Vérifier trois mois plus tard, et saisir la CNIL si l'engagement n'est pas tenu.
Et en amont, l'arbitrage le plus efficace reste celui-ci : ne pas donner de point de contact permanent quand une relation temporaire suffit. Un alias, un numéro secondaire, un message ponctuel sans canal de retour — autant de façons de rendre la résiliation future beaucoup plus simple, parce qu'il y aura simplement moins à résilier.
Pour aller plus loin
- CNIL — fiches « Durées de conservation », « Droit à l'effacement » et référentiels sectoriels (cnil.fr)
- Règlement (UE) 2016/679 (RGPD) — articles 5, 15, 17, 19 et 21
- Loi Informatique et Libertés du 6 janvier 1978 modifiée
- Code de commerce, article L123-22 (conservation des pièces comptables)
- Banque de France — notices FICP et FCC, procédures de radiation
