Suppression de compte et preuve : que permet le RGPD ?

Réponse directe — Fermer un compte ne signifie pas nécessairement détruire chaque trace d’une opération passée. Le RGPD impose d’effacer les données qui ne sont plus nécessaires, mais prévoit aussi des situations dans lesquelles une conservation limitée reste possible, notamment pour constater, exercer ou défendre des droits en justice. La difficulté consiste à séparer réellement le compte utilisé au quotidien du dossier probatoire qui peut encore être nécessaire.

Trois opérations différentes

La fermeture d’un compte met fin à la relation courante avec l’utilisateur. Elle doit supprimer les identifiants de connexion, les sessions, le profil, les préférences, la société et le carnet d’adresses qui n’ont plus de finalité. L’utilisateur ne doit plus pouvoir se connecter et ses données ne doivent plus alimenter les fonctions ordinaires du service.

L’exercice du droit à l’effacement est plus large. Une personne peut demander que l’organisme recherche les données qui la concernent dans l’ensemble de ses traitements, y compris lorsqu’elle apparaît comme destinataire du courrier d’un autre client. La recherche doit alors couvrir les bases actives, les archives, les fichiers, les journaux et les prestataires concernés.

Enfin, l’anonymisation est une transformation irréversible rendant impossible l’identification de la personne. Elle convient aux statistiques, mais elle peut détruire la fonction d’une preuve lorsque l’identité des parties est précisément l’un des faits à établir.

Pourquoi une preuve peut subsister

L’article 17 du RGPD encadre le droit à l’effacement et ses exceptions. La CNIL rappelle qu’un organisme peut devoir conserver certaines données lorsqu’elles restent nécessaires à une obligation légale ou à la constatation, à l’exercice ou à la défense de droits en justice. Cette exception n’autorise pas à conserver tout le compte, tous les messages et tous les journaux sans limite.

Il faut identifier le dossier réellement nécessaire. Pour un courrier électronique documenté, il peut comprendre le PDF exact, son jeton d’horodatage, les pièces jointes annoncées, les coordonnées utilisées au moment de l’envoi, la référence et les événements de remise. Les préférences de l’utilisateur, ses brouillons ou son carnet complet n’ont pas la même fonction et doivent suivre leur propre règle d’effacement.

Cette séparation protège aussi l’expéditeur. Si un destinataire pouvait faire disparaître unilatéralement le document et tous ses événements, l’expéditeur perdrait un élément susceptible d’être nécessaire à son propre dossier. Le droit d’une personne doit donc être concilié avec les droits des autres parties, de façon proportionnée et transparente.

Ce que signifie un archivage intermédiaire

La CNIL distingue la base active de l’archivage intermédiaire. Une donnée archivée ne doit plus être utilisée par les services opérationnels. Elle doit être isolée physiquement ou logiquement, accessible uniquement à des personnes habilitées et consultée de manière ponctuelle pour un motif précis.

Dans un dispositif cohérent, l’utilisateur ne voit donc plus son ancien compte. Les équipes commerciales ne peuvent plus utiliser son adresse. En revanche, une équipe habilitée peut extraire un paquet de preuve à la demande d’un juge, d’un conseil ou dans le cadre d’un litige documenté. L’accès doit être journalisé et le dossier exporté doit être protégé puis supprimé lorsqu’il n’est plus utile.

Une date de purge reste obligatoire. Un gel contentieux peut la suspendre, mais ce gel doit comporter un motif, une référence et une revue. L’expression « au cas où » ne suffit pas à justifier une conservation indéfinie.

Que devient un courrier encore en cours ?

La fermeture du compte ne devrait pas casser une remise déjà engagée. Le destinataire peut encore se trouver dans son délai d’acceptation ou de refus. Le service a besoin des coordonnées figées lors de l’envoi pour terminer cette opération, sans pour autant conserver le profil actif de l’expéditeur.

Une architecture adaptée détache donc la transaction du compte. Le compte, les sessions et le carnet sont supprimés ; le courrier poursuit son cycle avec les snapshots créés au moment du dépôt. Lorsque son état devient définitif, il rejoint le paquet probatoire soumis à son échéance.

Cette logique évite deux erreurs : faire réapparaître un compte pour terminer un envoi, ou supprimer précipitamment le document alors que le destinataire doit encore pouvoir agir.

Quelle information donner à la personne ?

Une réponse RGPD ne devrait pas se limiter à « votre compte est supprimé ». Elle doit indiquer les catégories effacées, celles qui restent conservées, leur finalité, leur base légale, leur durée et les destinataires encore sollicités. Si aucune preuve ne subsiste, il est possible de le dire clairement. Si un paquet probatoire reste archivé, il faut le nommer sans prétendre qu’il est anonymisé.

La personne conserve son droit d’accès aux données archivées. Elle peut aussi contester l’intérêt légitime invoqué ou demander une limitation pendant l’examen de sa demande. Le responsable doit être en mesure de démontrer son raisonnement.

Une méthode de contrôle en cinq points

1. Cartographier toutes les données liées au compte et à l’identité recherchée.
2. Effacer immédiatement les données actives dépourvues de finalité.
3. Isoler le paquet strictement nécessaire à la preuve.
4. Documenter sa base, son échéance, ses accès et les éventuels gels.
5. Produire un rapport avant et après traitement, y compris pour les sauvegardes et sous-traitants.

Pour approfondir le document conservé, consultez comment fonctionne la preuve Mail Certificate ?. Les différences entre dépôt, remise et ouverture sont détaillées dans preuve d’envoi, réception et ouverture. Le cadre général du service figure dans courrier certifié : définition et limites, ainsi que dans notre politique de confidentialité.

Cet article fournit une grille d’analyse générale. La durée, la base légale et le rôle de chaque acteur doivent être validés pour le service et le dossier concernés.