Rapport CEPD 2026 : droit à l'effacement et conformité RGPD

Le Comité européen de la protection des données (CEPD) a publié un rapport recensant les problèmes récurrents dans la manière dont les organisations traitent les demandes de suppression de données personnelles. Selon le CEPD, le rapport a été adopté le 18 février 2026 et porte sur le droit à l'effacement prévu par l'article 17 du RGPD, l'un des droits les plus fréquemment exercés dans le cadre de ce règlement.

Que s'est-il passé ?

Le CEPD a coordonné une action d'application de la réglementation à l'échelle européenne tout au long de l'année 2025, impliquant 32 autorités de protection des données (APD) à travers le continent. Au total, 764 responsables de traitement ont participé à cet exercice, allant des petites et moyennes entreprises aux grandes sociétés et aux organismes publics, dans des secteurs très variés.

Neuf APD ont ouvert ou poursuivi des enquêtes formelles dans le cadre de cet exercice. Vingt-trois autres ont mené des travaux de collecte d'informations. Les résultats ont ensuite été consolidés et analysés afin de dresser un état des lieux de la manière dont les organisations gèrent concrètement les demandes d'effacement.

Le rapport identifie sept obstacles récurrents qui nuisent à une conformité pleine et entière, bien que la source du CEPD ne liste pas chacun de ces obstacles individuellement. Parallèlement, le rapport met en lumière de bonnes pratiques et formule une série de recommandations à l'attention des responsables de traitement.

Quelle est la suite ?

Selon le CEPD, des suites sont prévues tant au niveau national qu'au niveau européen. Les orientations nationales et les modèles élaborés dans le cadre de cet exercice seront également utilisés pour alimenter des lignes directrices du CEPD sur le sujet. Des précisions supplémentaires à destination des entreprises sur la bonne gestion des demandes d'effacement devraient donc suivre.

Qu'est-ce que cela signifie pour votre site web ?

Si votre site web collecte des données personnelles, comme des adresses e-mail de clients, des messages envoyés via un formulaire de contact ou des informations de compte, vos visiteurs ont le droit de vous demander de supprimer ces informations en vertu de l'article 17 du RGPD. Ce rapport est un signal clair que les autorités de protection des données à travers l'Europe, dont la CNIL en France, surveillent attentivement la façon dont les entreprises répondent à ces demandes. Il est donc utile de revoir vos procédures dès maintenant. Vous pouvez commencer par consulter notre liste de contrôle de conformité RGPD et vérifier si votre politique de confidentialité explique clairement comment les personnes concernées peuvent exercer leurs droits.