Un document partagé en ligne expose vos données personnelles : que faire ?

Un document partagé par lien peut rendre visibles des informations qui n’étaient pas destinées au public : coordonnées, éléments de dossier, données professionnelles ou échanges privés. Vous le découvrez parfois par un résultat de recherche, parfois parce qu’une personne vous transmet son adresse web. La priorité consiste à limiter sa diffusion sans recopier ni redistribuer les données exposées. Il faut aussi distinguer deux démarches : demander le retrait du document à la source et demander, si nécessaire, le déréférencement des pages qui y conduisent.

Commencez par repérer qui contrôle le document. La page peut indiquer le nom d’un auteur, d’une association, d’une entreprise ou d’un organisme ; le nom de domaine et les coordonnées de contact peuvent également orienter votre recherche. Si vous connaissez le propriétaire, adressez-lui une demande écrite et précise : indiquez l’URL, les informations concernées et ce que vous demandez, par exemple la suppression du fichier, le retrait de vos données ou la restriction de son accès. Expliquez brièvement pourquoi leur présence vous paraît injustifiée. Le droit à l’effacement n’est pas automatique : le responsable de traitement peut devoir conserver certaines données pour respecter une obligation légale ou défendre un droit. Demandez alors, selon la situation, une limitation de l’accès ou une explication sur la base du traitement.

Commencez par relever l’adresse exacte du document et la page qui le rend accessible. Conservez une capture d’écran datée montrant le contexte et le lien, sans publier cette preuve ni transmettre le document à des tiers. Notez également le nom du service d’hébergement et la date de votre demande. Dans votre message, communiquez uniquement les éléments nécessaires pour vous identifier et localiser le contenu ; évitez d’envoyer une copie complète d’un document sensible si cela n’est pas indispensable. Si le lien permet d’accéder à des données bancaires, des identifiants ou des informations particulièrement sensibles, avertissez rapidement l’organisme concerné et prenez les mesures de sécurité adaptées. Vous pouvez aussi signaler le contenu au service qui l’héberge, notamment si le propriétaire ne répond pas ou reste introuvable. Le signalement à la plateforme ne garantit toutefois pas le retrait : son rôle dépend de ses conditions et de la situation.

Si le document reste accessible dans un moteur de recherche après son retrait, ou si le responsable refuse de supprimer une page qui demeure en ligne, examinez séparément le déréférencement. Une demande à Google porte sur l’association entre une recherche — souvent votre nom — et un résultat ; elle ne supprime pas le fichier hébergé. À l’inverse, supprimer ou rendre privé le document à la source peut faire disparaître son accès public, sans que tous les résultats ou extraits des moteurs soient actualisés immédiatement. Dans votre demande de déréférencement, précisez les URL concernées, les requêtes qui font apparaître le résultat et les raisons pour lesquelles les informations sont inexactes, excessives ou ne devraient plus être accessibles sous cette forme. La réponse dépend du contexte et de l’équilibre entre vie privée et intérêt du public à être informé.

Un organisme qui reçoit une demande fondée sur le RGPD doit en principe répondre dans un délai d’un mois ; une prolongation est possible dans certains cas, avec information sur les motifs. En l’absence de réponse ou si le refus vous paraît injustifié, vous pouvez saisir la CNIL après avoir contacté le responsable de traitement. Joignez votre demande, la réponse éventuelle, les URL et des éléments utiles, en limitant les pièces justificatives aux données nécessaires. Une démarche méthodique permet de distinguer le retrait à la source du déréférencement et de choisir le bon interlocuteur, sans garantir l’effacement de toute copie.