Quand une entreprise reçoit une demande de suppression de compte, elle efface la fiche client dans son CRM. Le problème commence juste après : cette même donnée a été copiée dans un outil d’analytics, exportée dans un fichier partagé, injectée dans un jeu de test, parfois transmise à un sous-traitant. Le plus gros enjeu lié aux données personnelles n’est plus la collecte, c’est la perte de contrôle sur la propagation des informations une fois qu’elles existent dans un système.
Effacement des données personnelles : le droit existe, l’exécution technique coince
Le RGPD donne aux utilisateurs un droit à l’effacement. Sur le papier, une personne demande la suppression, le responsable de traitement exécute. En pratique, on se heurte à une réalité technique que la plupart des organisations sous-estiment.
A lire également : Quels sont les 4V de la littératie des données ?
Le Comité européen de la protection des données a publié en février 2026 un bilan de son action coordonnée sur le droit à l’effacement. Le constat est clair : la difficulté n’est plus d’obtenir la suppression mais d’en garantir la disparition effective dans l’ensemble des systèmes concernés. Sauvegardes, réplications, caches, flux inter-applicatifs : chaque couche technique multiplie les copies.
Sur le terrain, les équipes IT se retrouvent à auditer des dizaines de bases pour traquer une même adresse e-mail. Les outils de cartographie des données aident, à condition d’avoir été déployés avant la demande. Sans inventaire préalable, chaque requête d’effacement devient un chantier manuel.
A voir aussi : Quel est le plus gros data center au monde ?
IA et données d’entraînement : quand la frontière de la donnée personnelle se déplace
Un cas concret illustre le problème. Une entreprise collecte des conversations de support client pour améliorer son service. Elle décide ensuite d’utiliser ces échanges pour entraîner un modèle d’IA interne. Les données étaient licites pour le support, mais leur réutilisation pour l’entraînement d’un modèle constitue une finalité différente.
L’avis 28/2024 du Comité européen de la protection des données pose un cadre strict sur ce point. Détenir légalement des données pour une finalité ne donne pas le droit de les réutiliser pour entraîner une IA. La base légale, la nécessité et la compatibilité avec la finalité initiale doivent être réexaminées à chaque nouvelle utilisation.
Le modèle lui-même peut devenir un problème
Le même avis précise qu’un modèle d’IA ne peut pas être automatiquement considéré comme anonyme. Si des données d’entraînement peuvent être extraites ou reproduites par le modèle, on reste dans le périmètre du RGPD. On pensait que l’entraînement « dissolvait » les données personnelles dans des paramètres statistiques. Ce n’est pas garanti.
Pour les entreprises qui déploient des solutions d’IA, cela signifie une chose : vérifier si le modèle recrache des données personnelles fait partie des obligations, pas des options. Les tests d’extraction (membership inference, inversion de modèle) deviennent un prérequis de conformité.
Risques concrets de violation de données pour les entreprises et les utilisateurs
Les fuites de données ne sont plus un risque hypothétique. Le site info.gouv.fr rappelle que les violations de données se multiplient, exploitant à la fois des failles techniques et des faiblesses humaines comme le hameçonnage. Les rançongiciels restent une menace persistante, et l’ENISA les classe parmi les principales cybermenaces à court terme en Europe.
Ce qui change la donne, c’est l’échelle. Une fuite ne concerne plus un tableur égaré. Elle peut exposer des millions d’enregistrements d’un coup, avec des conséquences en cascade :
- Usurpation d’identité à partir de données croisées (nom, adresse, numéro de téléphone, historique d’achat) qui permettent de reconstituer un profil complet
- Exploitation commerciale non consentie par des tiers qui rachètent des bases compromises pour du ciblage publicitaire ou de la prospection
- Atteinte aux droits fondamentaux quand les données concernent la santé, les opinions politiques ou l’orientation sexuelle, avec des conséquences directes sur la vie des personnes
La CNIL reste l’autorité de référence en France pour signaler ces violations et accompagner les organisations dans leur mise en conformité. Les retours varient sur l’efficacité des sanctions, mais le cadre réglementaire se durcit progressivement.
Traitement des données personnelles sur internet : reprendre le contrôle au quotidien
Côté utilisateur, on sait tous qu’on accepte des cookies sans lire les conditions. Le problème va au-delà de la négligence individuelle. La CNIL a documenté dans ses cahiers « Innovation et prospective » le fait que chaque individu développe sa propre stratégie de protection, souvent de manière empirique et incomplète.
Quelques actions concrètes changent réellement la donne :
- Vérifier les paramètres de confidentialité de chaque service utilisé, pas seulement lors de l’inscription mais après chaque mise à jour des conditions générales
- Exercer son droit d’accès auprès des entreprises pour savoir quelles données elles détiennent, ce qui force aussi l’organisation à maintenir son registre de traitement à jour
- Utiliser des adresses e-mail dédiées par type de service pour compartimenter les risques en cas de fuite
Pour les entreprises, la mise en oeuvre du RGPD ne se limite pas à un registre de traitement et une politique de confidentialité. La conformité se joue dans la capacité technique à exécuter les droits des personnes dans des délais raisonnables, sur l’ensemble de la chaîne de données.
L’enjeu central des données personnelles se déplace. On passe d’un monde où la question était « qui collecte quoi » à un monde où la question devient « qui peut encore retrouver et supprimer une donnée une fois qu’elle circule ».
Les organisations qui investissent dans la cartographie de leurs flux de données et dans des processus d’effacement vérifiables prennent de l’avance. Celles qui traitent le RGPD comme une formalité administrative s’exposent à des sanctions, mais surtout à une perte de confiance de leurs utilisateurs.
