Comment supprimer tes données : tes données, ton contrôle

Tu es le produit

C'est un secret de polichinelle : toutes les applications et tous les services que tu utilises sur ton téléphone ou dans un navigateur sont stockés en permanence par l'entreprise concernée. Résultat, au fil des années d'usage, tu as accumulé des masses de données personnelles. La plupart des grandes entreprises tech s'en servent pour générer du chiffre d'affaires. En général, via la publicité. En clair, d'autres entreprises paient pour annoncer sur leur plateforme, et comme ces groupes ont stocké d'énormes volumes de données utilisateurs, ils peuvent cibler les clients plus finement. Les annonceurs y tiennent beaucoup. En tant qu'utilisateur du service, tu deviens le produit de leur plateforme ou de leur application.

Le vrai problème, c'est que les grands collecteurs de données comme FAANG ont un intérêt clair à stocker le plus de données possible sur toi. Ça efface ta vie privée, et ça te laisse exposé à des attaques de tiers contre leur service. Parfois, l'attaque contre tes données et ta vie privée vient de l'intérieur, comme dans le scandale Cambridge Analytica auquel Meta a fait face il y a quelques années. Dans cette affaire, les données personnelles des amis Facebook des utilisateurs ont été collectées par Cambridge Analytica via la plateforme Open Graph de Facebook.

Même si tu as tendance à ignorer les risques, le bénéfice que tu tires du service est mince. À quand remonte la dernière pub sur Instagram ou YouTube pour un produit que tu ne connaissais pas, et que tu as décidé d'acheter ? Si tu es comme moi ou comme notre équipe, tu attends encore ce jour. En attendant, tu fais défiler des centaines de pubs pour des pilules miracles brûle-graisse (très probablement non autorisées à la vente chez toi, même si tu étais prêt à tenter le coup et à jouer ta chance) ou tu sautes des centaines de pubs pour des jeux mobiles (qui n'existent sans doute même pas).

La protection à faire soi-même, grâce au RGPD

Heureusement, c'est là que le règlement général sur la protection des données, ou RGPD (GDPR), peut servir. L'article 17 du RGPD te donne le droit d'être oublié par ces entreprises. Tu peux demander l'effacement immédiat des données te concernant, dans certaines conditions. Nos amis allemands de datenanfragen.de ont bien résumé ces conditions. J'en simplifie les conclusions.

Les conditions sont réunies, par exemple, si

• les données ne sont plus nécessaires aux finalités pour lesquelles elles ont été collectées (art. 17, § 1, a) RGPD)
• tu retires ton consentement au traitement (art. 17, § 1, b) RGPD)
• les données ont été traitées de façon illicite (art. 17, § 1, d) RGPD).

‍

Il existe aussi des cas où le droit est limité, et où il n'y a pas de droit à l'effacement. Des restrictions existent, par exemple

• si le droit à la liberté d'expression et d'information l'emporte (art. 17, § 3, a) RGPD),
• s'il existe une obligation légale de conserver les données, comme la conservation des factures pendant 10 ans (art. 17, § 3, b) RGPD)
• un usage dans l'intérêt public à des fins d'archivage, de recherche scientifique ou historique (art. 17, § 3, d) RGPD)
• pour la constatation, l'exercice ou la défense de droits en justice (art. 17, § 3, e) RGPD).

‍

En général, la plupart des informations que ces entreprises collectent sur toi ne sont pas nécessaires pour fournir leurs services, et tu as le droit de les forcer à les supprimer. Un point à noter : elles doivent aussi t'informer de l'état de ta demande au titre de l'art. 19 du RGPD. Elles doivent te dire si elles ont des données, et si elles les ont supprimées. Où est le hic ? C'est à toi, en tant qu'utilisateur, d'invoquer ce droit toi-même, et ces entreprises ne vont pas te faciliter la tâche, parce que ce n'est pas dans leur intérêt.

Comment ça marche

Il y a deux grandes façons d'exercer ton droit à l'effacement :

1. Tu peux prévenir l'entreprise qui stocke tes données que tu veux qu'elle cesse d'utiliser son service. C'est sans doute le moyen le plus simple d'obtenir la suppression. La première chose à faire, c'est de retrouver l'adresse e-mail avec laquelle tu t'es inscrit, puis d'envoyer un e-mail depuis cette adresse, avec ton nom, ton e-mail, ton adresse postale et ta date de naissance. Ces informations doivent figurer dans le message, pour que l'entreprise te retrouve dans son système et sache quelles données te concernent. Il est aussi important de demander à l'entreprise de supprimer les informations que tu viens de lui donner. Pas d'inquiétude, notre modèle ci-dessous couvre ce point.

2. Malheureusement, ce n'est pas toujours aussi simple. Les grandes entreprises tech comme Google ou Meta ne veulent pas échanger manuellement avec chaque utilisateur. Tu ne peux donc pas appeler ou écrire à quelqu'un pour faire retirer tes données. Tu dois passer par leurs outils. En général, ça veut dire te connecter à leur service sur leur site, puis aller dans l'onglet Confidentialité des paramètres du compte. Une fois là, tu trouves un bouton qui te permet de supprimer tes données. Attention à ne pas supprimer ton compte au passage. Là encore, on a un guide pour le faire chez beaucoup de grandes entreprises tech, et on l'enrichit en continu.

Voici les modèles

Voici le modèle d'e-mail standard que tu peux utiliser pour dire à n'importe quelle entreprise que tu veux qu'elle supprime tes données personnelles. Complète tes informations aux endroits prévus :

Madame, Monsieur,

Je demande par la présente l'effacement immédiat des données à caractère personnel me concernant, conformément à l'article 17 du RGPD.

Veuillez effacer toutes les données à caractère personnel me concernant, au sens de l'article 4, paragraphe 1, du RGPD.

Si j'ai consenti au traitement de mes données à caractère personnel, je retire par la présente ce consentement pour l'ensemble du traitement.

J'estime que les conditions prévues à l'article 17, paragraphe 1, du RGPD sont réunies. Vous ne pouvez pas non plus invoquer une exception fondée sur l'article 17, paragraphe 3, du RGPD, d'autant que je ne suis pas une personnalité publique.

Si vous avez rendu publiques les données mentionnées ci-dessus, vous êtes tenu, en vertu de l'article 17, paragraphe 2, du RGPD, de prendre des mesures raisonnables pour informer les autres responsables du traitement, y compris les exploitants de moteurs de recherche, qui traitent les données à caractère personnel listées ci-dessus, que j'ai demandé l'effacement de tous les liens, copies ou reproductions. Cela vaut non seulement pour les copies exactes des données concernées, mais aussi pour celles dont on peut déduire des informations contenues dans ces données.

Si vous avez communiqué les données à caractère personnel concernées à des tiers, vous devez transmettre ma demande d'effacement de ces données, ainsi que de toute référence à celles-ci, à chaque destinataire, conformément à l'article 19 du RGPD. Veuillez aussi m'informer de l'identité de ces destinataires.

Si vous vous opposez à l'effacement demandé, vous devez me le justifier.

Ma demande vise expressément tout autre service et toute autre entreprise dont vous êtes le responsable du traitement au sens de l'article 4, paragraphe 7, du RGPD.

Comme le prévoit l'article 12, paragraphe 3, du RGPD, vous devez me confirmer l'effacement dans les meilleurs délais et, en tout état de cause, dans un délai d'un mois à compter de la réception de la demande.

Je joins les informations suivantes, nécessaires pour m'identifier :

Nom : [ton nom]

e-mail : [ton e-mail]

adresse : [ton adresse]

Date de naissance : [dd-mm-yyyy]

Si vous ne répondez pas à ma demande dans le délai indiqué, je me réserve le droit d'engager une action en justice à votre encontre et de déposer une plainte auprès de l'autorité de contrôle compétente.

Je vous remercie par avance.

Cordialement,

[ton nom]

‍

Là où le modèle d'e-mail ne fonctionne pas

Voici une liste d'entreprises qui n'acceptent pas l'e-mail pour invoquer l'art. 17 du RGPD et ton droit de supprimer tes données. Pour celles-ci, tu devras aller dans les paramètres du compte et lancer la suppression toi-même. Clique sur le nom de chaque entreprise pour le mode d'emploi détaillé.

• Amazon
• Google
• LinkedIn
• Meta (y compris Instagram et Facebook)
• Netflix
• Paypal (un e-mail est possible, mais déconseillé)
• Snapchat
• TikTok

‍

Ils ne répondent pas ?

Pas de chance. Une option, c'est de réessayer, ou d'envoyer ton e-mail à une autre adresse. Il vaut souvent mieux écrire au support client plutôt qu'au service vie privée, parce que le support consulte sa boîte plus souvent. L'avantage du RGPD, c'est que l'entreprise est tenue de transmettre ton e-mail à la bonne adresse en interne et de traiter ta demande, quel que soit l'endroit où tu l'as envoyée. Garde aussi en tête que le délai de réponse est en général fixé à 30 jours, et que beaucoup d'entreprises attendent volontairement le 28e ou le 29e jour avant de te répondre.

Datapods : la suppression, sans la corvée

On peut le dire : ça fait beaucoup de travail si tu veux supprimer tes données personnelles chez chaque entreprise avec laquelle tu as déjà eu affaire. Tu peux facilement reprendre le modèle d'e-mail et l'envoyer à toutes celles qui acceptent ce canal. Trouver la bonne adresse, répondre à leurs réponses, et recommencer régulièrement, ça reste une vraie corvée. En parallèle, c'est fastidieux d'aller sur la page de compte de chaque grand service que tu utilises pour dénicher le bouton de suppression, un par un.

C'est là que Datapods intervient, et te permet de le faire simplement avec notre appli. On te dirige vers la bonne section de chaque service, dans l'appli, pour supprimer tes données facilement. Mieux encore : avant de tout effacer, tu peux enregistrer une copie de tes données sur ton appareil, via notre fonction de demande. Tu gardes tes données personnelles si tu en as besoin un jour, et tu vois concrètement ce que les entreprises ont sur toi. Pour aller plus loin, on a tout un article sur ce que Mark Zuckerberg et Meta/Facebook savent sur toi (indice : c'est beaucoup). Reprendre tes données personnelles, et décider de ce qu'il en advient, n'a jamais été aussi important.