Articles de presse en ligne : la CNIL encadre les demandes d'effacement

Un organe de presse saisi d'une demande de suppression de données personnelles ne peut pas y répondre par une formule générale invoquant le droit à l'information. Il doit démontrer concrètement, dossier par dossier, en quoi le maintien des données est nécessaire. C'est ce qu'énonce une fiche mise en ligne le 5 août 2026 par la CNIL.

Le point de départ est un régime dérogatoire. L'article 85 du règlement général sur la protection des données et l'article 80 de la loi Informatique et Libertés écartent, pour les traitements journalistiques exercés à titre professionnel, les droits d'information, d'accès, de rectification et de limitation, dans la mesure nécessaire à la conciliation avec la liberté d'expression. Deux droits subsistent : l'opposition, prévue à l'article 21, et l'effacement, prévu à l'article 17.

La demande ne porte jamais sur l'article entier

La CNIL pose une limite nette : ces dispositions ne permettent pas de réclamer le retrait d'un article dans son intégralité. Elles ne visent que les éléments qui permettent d'identifier la personne. Les deux droits ne sont pas absolus pour autant. Le média peut refuser s'il établit des motifs légitimes et impérieux prévalant sur les intérêts du demandeur, ou si le traitement est nécessaire à l'exercice du droit à la liberté d'expression et d'information.

L'examen se fait au cas par cas. L'autorité renvoie aux critères de mise en balance dégagés par la Cour européenne des droits de l'homme, qu'elle présente comme une liste non exhaustive à la disposition des rédactions.

• la nature de l'information en cause
• le délai écoulé depuis les faits, depuis la première publication et depuis la mise en ligne
• l'intérêt actuel de l'information et sa contribution à un débat d'intérêt général
• la notoriété du demandeur
• son comportement antérieur, notamment vis-à-vis des médias
• les répercussions préjudiciables d'une diffusion qui se prolonge
• l'accessibilité du contenu en ligne

Six formulations de refus jugées insuffisantes

L'article 12 du règlement impose de motiver le refus. La fiche recense six réponses types que la CNIL considère comme des motivations générales et théoriques, donc irrecevables : l'invocation du seul droit à l'information ; l'annonce d'une politique de non-suppression assortie de la seule exception de l'erreur manifeste ; l'affirmation que rien ne justifie de modifier ou de déréférencer l'article ; l'argument selon lequel l'affaire intéresse le public ; celui d'une contribution à l'écriture de l'histoire locale ; celui du compte rendu fidèle d'un fait divers dans la zone de diffusion du titre.

Le média doit au contraire répondre aux arguments avancés par le demandeur et se référer aux circonstances de la publication, en s'appuyant notamment sur les critères de la juridiction de Strasbourg.

Accepter, c'est anonymiser et prévenir les moteurs

Quand le média fait droit à la demande, il ne dépublie pas : il retire les éléments identifiants. Cela vaut pour l'identification directe, le nom et le prénom, comme pour l'identification indirecte. La CNIL cite des exemples de désignations qui restent identifiantes : la présidente d'une association, le chef de la police municipale d'une commune, le vainqueur d'une course, l'unique habitante d'un immeuble à une adresse donnée.

L'obligation ne s'arrête pas à la page d'origine. L'article 17 impose au média d'informer les autres responsables de traitement qui détiennent ces données, afin qu'ils suppriment les liens, copies et reproductions. Sont visées les sociétés auxquelles l'article est transmis par contrat, journaux d'un même groupe ou agrégateurs de contenus, ainsi que les exploitants de moteurs de recherche, pour que les résultats renvoient vers la version modifiée.

Six organismes contrôlés en 2025, deux mises en demeure

Cette doctrine s'inscrit dans une séquence de contrôle. Le droit à l'effacement a fait l'objet en 2025 de la quatrième action coordonnée annuelle menée par le Comité européen de la protection des données. La CNIL y a procédé à des vérifications sur place auprès de six organismes de tailles et de secteurs différents, désignés en partie à partir des plaintes qu'elle avait reçues.

Le bilan qu'elle en a tiré le 18 février 2026 conclut à une prise en compte globale des demandes, mais relève des lacunes récurrentes : absence de procédures internes adaptées, information insuffisante des personnes, difficultés à fixer les durées de conservation et à effacer les données dans les sauvegardes. Plusieurs responsables de traitement ont dit peiner à arbitrer entre l'effacement et d'autres droits. Deux mises en demeure ont déjà été prononcées, l'instruction des autres dossiers restant ouverte.