Expertise 04
Suppression de vos données personnelles sur internet
Votre adresse privée, votre numéro de téléphone ou des documents qui vous concernent circulent en ligne. Le cabinet cartographie chaque exposition, conduit des demandes de suppression documentées auprès des sites, des agrégateurs et des moteurs de recherche, puis contrôle les résurgences.
Situations traitées
Ce qu’une recherche sur votre nom peut révéler
Quelques minutes de recherche suffisent parfois à reconstituer l’essentiel d’une vie privée : lieu de résidence, entourage, habitudes, patrimoine. Pour un dirigeant, un magistrat ou toute personne exposée par sa fonction, cette matière constitue une vulnérabilité concrète, exploitable par un concurrent, une partie adverse ou un individu malveillant.
Les expositions que le cabinet traite le plus fréquemment :
- adresse privée publiée en clair ou déductible de photographies ;
- numéros de téléphone et adresses électroniques personnels ;
- situation familiale : prénoms des enfants, établissements fréquentés, liens de parenté ;
- documents indexés par erreur : contrats, jugements, attestations, pièces d’identité ;
- données ressorties d’annuaires, d’agrégateurs ou de fuites de bases de données ;
- registres publics indexés par les moteurs, alors que leur consultation devait rester ponctuelle.
Ces éléments proviennent rarement d’une source unique. Ils s’additionnent : un annuaire fournit l’adresse, un réseau social la photographie, une fuite ancienne le numéro de portable. C’est leur combinaison qui crée le risque.
Le facteur temps
Pourquoi l’exposition s’aggrave si rien n’est fait
Une donnée publiée ne reste pas où elle est apparue. Les agrégateurs la copient, les annuaires la reprennent, les moteurs l’indexent. Chaque duplication crée un point de diffusion supplémentaire : un renseignement présent sur deux sites se retrouve sur dix, puis sur trente, chacun servant à son tour de source aux suivants.
Le retrait obéit à la logique inverse. Tant que l’exposition reste circonscrite, quelques demandes ciblées suffisent souvent à la résorber. Passé un certain degré de duplication, chaque copie appelle sa propre démarche, auprès d’interlocuteurs parfois difficiles à identifier ou établis hors d’Europe. Agir tôt réduit le périmètre du mandat. Attendre l’étend.
Cadre juridique
Des droits précis, pas de la bonne volonté
Une demande de suppression n’est pas une requête de complaisance adressée à une plateforme. Elle s’appuie sur des fondements identifiés, et le fondement mobilisé dépend du droit applicable : protection de la personnalité et nLPD en Suisse, RGPD et droit à l’effacement dans l’Union européenne. Le diagnostic établit, pour chaque occurrence, celui qui s’applique :
- le RGPD, pour les personnes qui résident dans l’Union européenne et pour les responsables de traitement qui y sont soumis : droit d’accès, droit à l’effacement, droit d’opposition, et autorités de contrôle susceptibles d’être saisies en cas de refus. En France, la protection de la vie privée (art. 9 du Code civil français) le complète ;
- la nouvelle loi fédérale sur la protection des données (nLPD), qui ouvre un droit d’accès, obligeant un responsable de traitement à révéler les données qu’il détient, et un droit à l’effacement lorsque le traitement n’est pas justifié. La protection de la personnalité (art. 28 du Code civil) le complète ;
- les procédures de retrait des moteurs de recherche, dédiées aux données sensibles : coordonnées personnelles diffusées avec intention de nuire, documents d’identité, données financières ou médicales.
Ces procédures obéissent à des critères stricts. Une demande mal qualifiée est rejetée, et un refus affaiblit les démarches suivantes. Le cabinet fonde chaque envoi en droit, conserve la trace de chaque échange et coordonne son action avec vos conseils juridiques lorsque le dossier l’exige.
Les demandes sont adressées aux sites, aux agrégateurs, aux hébergeurs et aux moteurs de recherche quel que soit leur pays d’établissement. La langue de travail est le français, et l’anglais lorsque le dossier l’exige.
Méthode
Un protocole en quatre phases
Cartographie
Recensement des expositions : sites sources, agrégateurs, moteurs, caches et copies. Chaque occurrence est consignée.
Priorisation
Classement selon la sensibilité de la donnée, l’audience du support et le risque d’exploitation. Le plan est validé avec vous.
Retraits documentés
Demandes de suppression fondées en droit, adressées aux sites, aux agrégateurs et aux moteurs. Chaque envoi et chaque réponse sont archivés.
Contrôle
Surveillance des résurgences : réindexations, nouvelles copies, caches. Toute réapparition fait l’objet d’une nouvelle démarche.
Situations aggravées
Si l’exposition s’accompagne de menaces
La publication de données personnelles sert parfois de levier : menace de diffusion, demande de fonds, harcèlement coordonné. Ces situations relèvent d’un protocole distinct, qui combine préservation des preuves, sécurisation et démarches d’urgence. Elles sont traitées dans le cadre de notre expertise consacrée au doxxing et au chantage numérique.
Si vous êtes dans ce cas, indiquez-le dès le premier échange : l’ordre des actions en dépend, et certaines démarches de suppression doivent attendre que les preuves aient été préservées.
Questions fréquentes
Ce que nos clients nous demandent
Mon adresse privée apparaît sur Google, peut-on la faire retirer ?
Dans de nombreux cas, oui. Google prévoit une procédure de retrait pour les coordonnées personnelles, notamment l’adresse du domicile et le numéro de téléphone. Le retrait des résultats de recherche ne supprime toutefois pas la donnée du site qui la publie : le cabinet traite les deux niveaux, la source et l’index, afin qu’une copie ne remonte pas quelques semaines plus tard.
Que faire si mes données figurent dans une fuite de base de données ?
Une fuite se traite en deux temps. D’abord limiter l’exploitation : changement des mots de passe concernés, vigilance face aux tentatives d’usurpation. Ensuite traiter la diffusion : identifier les sites qui republient les données issues de la fuite et leur adresser des demandes de suppression fondées sur le RGPD ou la nLPD, selon le droit applicable. Le diagnostic initial établit ce qui circule réellement, et où.
Combien de temps prennent les retraits ?
Cela varie selon l’interlocuteur. Les procédures des moteurs de recherche aboutissent généralement en quelques jours à quelques semaines. Les sites et les agrégateurs répondent de manière plus inégale, en particulier lorsqu’ils sont établis hors d’Europe, et certains dossiers demandent plusieurs mois. Le calendrier qui vous est remis lors du diagnostic distingue ces deux rythmes, contenu par contenu.
Les données peuvent-elles réapparaître après suppression ?
Oui, c’est le principal risque de ce type de dossier. Les agrégateurs reconstituent périodiquement leurs bases, et une donnée supprimée peut être réimportée depuis une autre source. C’est la raison pour laquelle chaque mandat comprend un contrôle des résurgences : les occurrences traitées restent surveillées, et toute réapparition déclenche une nouvelle démarche.
Quel droit s’applique si le site est hébergé à l’étranger ?
Celui qui protège la personne concernée, et non celui du serveur. Le RGPD s’applique lorsque le responsable de traitement est établi dans l’Union européenne ou qu’il vise des personnes qui s’y trouvent. La nLPD s’applique aux traitements qui déploient des effets en Suisse, même lorsque le responsable est établi à l’étranger. En pratique, l’efficacité dépend de l’interlocuteur : un éditeur européen relève du RGPD et des autorités de contrôle qui peuvent être saisies, tandis qu’un site hors d’Europe peut exiger de passer par l’hébergeur, le registrar ou le déréférencement. Le diagnostic identifie, pour chaque occurrence, le levier le plus réaliste.