Droit à l'effacement et partage de fichiers : l'essentiel

L'Article 17 du RGPD (droit à l'effacement) oblige les services de partage de fichiers et leurs clients à supprimer les données personnelles sur demande dans un délai d'un mois, y compris les copies détenues par les sous-traitants et dans les sauvegardes, sauf si une exemption spécifique s'applique. Pour les transferts de fichiers, cela signifie que vous avez besoin d'un mécanisme de suppression atteignant chaque couche de stockage — stockage d'objets chaud, caches CDN, sauvegardes froides et destinataires en aval ayant téléchargé le fichier. Les services avec expiration automatique de 7 à 30 jours gèrent la plupart des demandes d'effacement par défaut ; les services qui conservent les fichiers indéfiniment ont besoin d'un workflow de suppression documenté et testable.

Ce que l'Article 17(1) exige réellement

L'Article 17(1) liste six motifs déclenchant l'effacement : les données ne sont plus nécessaires pour la finalité initiale (a), la personne concernée retire son consentement (b), la personne concernée s'y oppose au titre de l'Article 21 et il n'existe pas de motif légitime prévalant (c), les données ont été traitées illégalement (d), obligation légale d'effacement (e), et données d'enfants collectées au titre de l'Article 8(1) (f). Pour le partage de fichiers, (a) et (b) dominent. La fenêtre "nécessaire pour la finalité" par défaut pour un livrable client correspond à la durée du projet plus une courte période de résolution des litiges — rarement plus de 12 mois.

Le délai d'un mois pour répondre

L'Article 12(3) donne aux responsables de traitement un mois pour répondre à une demande d'une personne concernée, extensible de deux mois pour les cas complexes avec notification à la personne concernée. C'est le délai de réponse, pas un délai de suppression technique. Mais si vous supprimez encore des fichiers manuellement via des tickets JIRA trois semaines après réception, vous jouez avec le feu. Les services avec suppression pilotée par API — DELETE /transfers/{id} retournant 204 — vous permettent de respecter le délai sans heures supplémentaires. Intégrez l'appel de suppression dans votre formulaire de traitement des demandes RGPD pour qu'il se déclenche automatiquement quand un ticket est approuvé.

Sauvegardes, caches et le problème de "cascade"

Supprimer un fichier du stockage primaire ne le supprime pas de la sauvegarde d'hier, du cache de périphérie CDN de la semaine dernière, ni du laptop du destinataire. Les orientations du CEPD sur l'Article 17 (publiées en 2019, révisées en 2022) acceptent que les sauvegardes peuvent être en retard mais exigent un calendrier de suppression documenté — généralement une rotation complète en 90 jours — et un engagement que les données sauvegardées ne soient pas restaurées vers des systèmes actifs. Pour les caches CDN, les appels d'invalidation (l'API de purge de Cloudflare, l'invalidation AWS CloudFront) devraient faire partie du pipeline de suppression. Pour les copies des destinataires, notifiez au titre de l'Article 17(2) et documentez la notification.

L'expiration des liens comme effacement structurel

Le chemin de conformité le plus propre est de ne pas conserver les fichiers au-delà du nécessaire. Les services construits autour de liens de courte durée — SwissTransfer à 30 jours, WeTransfer Free à 7 jours, HexaTransfer à 7 jours — suppriment automatiquement sans que personne ne le demande. C'est la "protection des données dès la conception" au titre de l'Article 25 : la valeur par défaut minimise la conservation. Si vous construisez un outil de transfert ou en choisissez un, une expiration par défaut inférieure à 30 jours transforme la plupart des demandes d'effacement en non-événement car le fichier est déjà parti.

Exemptions au titre de l'Article 17(3)

L'Article 17(3) liste cinq exemptions : liberté d'expression (a), obligations légales incluant les règles de conservation (b), intérêt public en matière de santé (c), archivage d'intérêt public, recherche scientifique ou historique (d), et établissement ou défense de réclamations légales (e). Dans le partage de fichiers, (b) et (e) se présentent. Un contrat PDF partagé avec un client peut devoir être conservé sept ans au titre de la réglementation TVA ou dix ans au titre du code commercial — documentez la loi de conservation, pseudonymisez dans la mesure du possible et ne supprimez pas à la demande. Documentez le refus par écrit avec la base légale.

Effacement cryptographique pour le stockage inviolable

Certains systèmes de stockage (stockage d'objets immuable, sauvegardes WORM, certaines archives adjacentes aux blockchains) ne peuvent pas physiquement écraser les données. L'effacement cryptographique — détruire la clé de chiffrement pour rendre le texte chiffré irrécupérable — est accepté par l'ENISA et le CEPD comme équivalent à la suppression pour les finalités du RGPD, à condition que le chiffre soit fort (AES-256-GCM ou mieux) et que la clé ait été correctement protégée. Les services utilisant des clés par fichier ou par transfert peuvent honorer l'effacement en jetant la clé, laissant un texte chiffré que personne ne peut déchiffrer. C'est plus rapide que d'écraser des téraoctets et fonctionne sur les systèmes immuables.

Journaux de suppression et principe de responsabilité

L'Article 5(2) exige des responsables de traitement qu'ils démontrent leur conformité. Les journaux de suppression sont votre preuve. Pour chaque effacement, enregistrez : date de la demande, identifiant de la personne concernée, référence du ticket, systèmes ciblés (stockage primaire, sauvegardes, CDN, liste de notification des destinataires), méthode de suppression (appel API, destruction de clé, écrasement), horodatage de fin et opérateur. La conservation du journal lui-même pendant six mois est une base commune. Certains prestataires exposent un PDF "Confirmation du Droit à l'Effacement" que vous pouvez transmettre à la personne concernée ; d'autres mettent simplement à jour le ticket. Dans tous les cas, conservez la piste papier aussi longtemps que des enquêtes de l'autorité de contrôle sont plausibles — généralement trois ans.

Dossiers partagés et destinataires en aval

Un fichier envoyé à cinq destinataires vit dans cinq boîtes mail plus cinq disques durs locaux. L'Article 17(2) exige des responsables de traitement qu'ils prennent des mesures raisonnables — y compris des mesures techniques — pour informer les autres responsables de traitement traitant les données que l'effacement a été demandé. "Raisonnable" évolue avec le risque. Pour un résumé exécutif public envoyé à 50 journalistes, "raisonnable" est proche de zéro. Pour un rapport médical envoyé à trois spécialistes, c'est un e-mail à chacun avec la demande de supprimer. Journalisez les notifications ; l'obligation est l'effort, pas le succès.

Données d'enfants et seuils plus stricts

Au titre de l'Article 17(1)(f), les données personnelles collectées auprès d'enfants au titre de l'Article 8(1) — où le consentement parental était requis pour les services de la société de l'information — bénéficient d'un traitement d'effacement préférentiel. Si la plateforme de transfert de fichiers a mené une campagne marketing collectant les coordonnées d'enfants (rare mais pas impossible), les demandes d'effacement doivent être honorées sans les équilibrages habituels. Les lois nationales abaissent le seuil d'âge de l'Article 8 dans certains États membres (13 ans en Suède et au Royaume-Uni, 15 ans en France, 16 ans en Allemagne). Les prestataires ciblant les marchés éducatifs ont besoin de workflows gérant les demandes initiées par les parents pour le compte de mineurs.

Automatiser l'effacement avec votre outil de transfert

Le pattern efficace est un seul endpoint API qui, étant donné un identifiant utilisateur, énumère tous les transferts impliquant cet utilisateur (comme expéditeur ou e-mail destinataire), les supprime dans les couches primaire et cache, invalide les périphéries CDN, déclenche la suppression dans les sauvegardes et émet un reçu de conformité. Tresorit, Proton Drive et Box Enterprise exposent des variantes. Le modèle d'HexaTransfer — expiration automatique à 7 jours avec chiffrement côté client — simplifie le problème : la plupart des fichiers ont déjà disparu quand les demandes arrivent, et le texte chiffré restant est inutile sans la clé détenue par l'utilisateur.

Concevez pour la suppression dès le départ et le droit à l'effacement se résout de lui-même. Essayez sur hexatransfer.com — gratuit, sans compte, jusqu'à 10 Go.