Données personnelles : la vie des copies après le contrat

Le commerce de nos traces · Cinquième volet d’une enquête en six parties.

Le contrat se termine, mais les données ont parfois déjà plusieurs vies : fichier de test, sauvegarde, audience publicitaire, produit dérivé. Leur retrait demande de retrouver ces copies et de coordonner ceux qui les détiennent. Avec Deezer et Mobius, LiveRamp et les ordonnances américaines visant les courtiers, ce cinquième volet explore le travail qui commence après la dernière facture.

Le contrat entre Deezer et Mobius Solutions s’est terminé le 1er décembre 2020. La copie de données décrite dans la décision de la CNIL est restée chez le prestataire jusqu’au 1er octobre 2023, date de suppression qu’il a déclarée. Trente-quatre mois séparent ces deux échéances. Entre-temps, Deezer avait notifié une violation de données à la CNIL, le 10 novembre 2022. S01

L’article 6.1.5 du contrat imposait pourtant la suppression à sa résiliation. Mobius affirmait avoir effacé les données dont sa direction avait connaissance. La copie restante se trouvait dans un environnement de non-production, distinct des systèmes servant au fonctionnement courant de la plateforme. S01

Après les acheteurs et leurs contrats, l’enquête suit le chemin de sortie. Les cas étudiés concernent des relations différentes : sous-traitance, hébergement, distribution d’audiences et vente à des tiers. Chacune a ses obligations et son organisation technique. Une question les relie : qui s’occupe des copies quand la relation commerciale s’arrête ?

Chez Mobius, le fichier de test avait sa propre durée de vie

Le 11 décembre 2025, la CNIL a sanctionné Mobius Solutions, qui commercialise la plateforme Optimove, de 1 million d’euros. Son annonce, publiée le 19 décembre, mentionne les données de plus de 46 millions d’utilisateurs de Deezer, conservées après le contrat. Le régulateur retient aussi un réemploi sans instruction du client et l’absence de registre des activités de sous-traitance. S02

Selon la défense rapportée dans la décision, trois salariés avaient réalisé la copie sans en informer leur direction. La CNIL relève que ces données avaient été copiées en 2019, stockées dans un environnement appartenant à Mobius et utilisées dans le cadre de ses activités. Elles servaient à améliorer les services rendus à Deezer, mais aussi ceux de sa propre plateforme. L’entreprise restait donc responsable de leur traitement. S01

L’avantage recherché ici était le développement du service. La décision porte sur cette réutilisation ; elle ne constate aucune vente à un courtier. Ce débouché mérite sa place dans une enquête sur l’économie des traces : un fichier confié pour une mission peut aussi devenir une ressource pour les développements du prestataire. La CNIL encadre ce réemploi pour son propre compte par une autorisation écrite préalable et un examen de compatibilité avec le traitement initial. Le prestataire devient alors responsable de ce nouveau traitement. S18

Le cas Mobius révèle surtout une faiblesse de l’inventaire. Une procédure de départ centrée sur les bases utilisées au quotidien peut laisser de côté les environnements de test. Avant de mesurer le temps d’effacement, il faut savoir quels espaces l’opération a parcourus.

La fin du contrat laisse des obligations à exécuter

Le RGPD distingue le responsable du traitement, qui décide des finalités et des moyens essentiels, et le sous-traitant, qui traite les données pour son compte. À la fin de la prestation, l’article 28 prévoit leur suppression ou leur restitution, au choix du responsable, ainsi que la destruction des copies, sauf conservation exigée par le droit de l’Union ou d’un État membre. Il organise aussi la transmission des obligations aux sous-traitants ultérieurs et les droits d’information et d’audit. S03

Certaines pièces peuvent rester nécessaires, notamment pour une obligation légale ou la gestion d’un contentieux. La CNIL distingue leur archivage intermédiaire, avec des accès restreints et une finalité justifiée, de leur utilisation dans l’activité courante. Un dossier conservé pour un litige doit être séparé des données disponibles pour les équipes commerciales. S19

Les clauses types adoptées par la Commission européenne en juin 2021 traduisent cette sortie dans un modèle contractuel. Leur clause 10(d) prévoit une certification de suppression, ou la restitution accompagnée de la destruction des copies. Les clauses continuent de s’appliquer jusqu’à la suppression ou à la restitution. Pour les parties qui utilisent ce modèle, la clôture administrative du compte laisse donc subsister un travail à effectuer. S04

Un acheteur indépendant se trouve dans une autre relation juridique. Une licence peut prévoir le devenir de certains usages ou produits après son terme ; le traitement de données personnelles reste soumis à sa propre base légale. Les demandes individuelles d’effacement et l’information des destinataires relèvent notamment des articles 17 et 19 du RGPD, avec leurs conditions et exceptions. Fermer son compte auprès d’une application appelle ainsi un suivi des destinataires, de leur rôle et des données qu’ils conservent. S03

Les sauvegardes ont leur calendrier

La documentation d’Amazon S3 décrit une distinction très concrète. Lorsque la gestion des versions est activée, une suppression simple, sans identifiant de version, ajoute un marqueur de suppression. La lecture habituelle peut alors renvoyer « introuvable », tandis que les versions antérieures restent stockées. Leur élimination passe par des opérations ou des règles portant aussi sur ces versions. Cette fonction sert à la récupération des données. S06

Pour contrôler un retrait dans cette configuration, il faut donc examiner l’historique des versions en plus de l’accès courant. Cet exemple technique décrit S3 ; l’architecture employée par Mobius n’est pas détaillée dans les pièces retenues.

Google Cloud présente un effacement par étapes dans les systèmes actifs et les sauvegardes. Il peut combiner l’écrasement des données avec la suppression des clés permettant de les déchiffrer, appelée effacement cryptographique. Les instantanés de sauvegarde suivent leur propre cycle de retrait. S08

Les conditions Google Cloud consultées le 19 septembre 2026 donnent un calendrier contractuel : à la fin du contrat, la clause 6.2 prévoit une période de récupération pouvant atteindre 30 jours, puis l’exécution de la suppression aussi rapidement que raisonnablement possible, dans un maximum de 180 jours. La clause 6.3 reporte le déclenchement pour des données également couvertes par un autre accord encore en vigueur. Ces engagements comportent des exceptions légales et des adaptations selon les produits ; ils sont propres au fournisseur. S07

La restauration ajoute une difficulté. Une sauvegarde ancienne peut contenir un profil retiré depuis sa création. La remettre en service oblige à réappliquer les suppressions intervenues entre-temps, sous peine de réintroduire ce profil dans la base active.

Dans la publicité, couper le flux peut arrêter les retraits

Chez LiveRamp, Record Sync transmet aux destinations compatibles les retraits liés aux changements d’appartenance à une audience. Mais retirer un segment du compte de distribution arrête ses mises à jour et ses tâches de retrait chez le destinataire. La documentation décrit deux voies pour retirer les données déjà transmises : distribuer le segment avec une liste vide pour déclencher des retraits, ou travailler directement avec la plateforme destinataire pour le supprimer complètement. S09

Sans Record Sync, la plupart des distributions décrites par LiveRamp fonctionnent par ajouts. Un identifiant absent d’une mise à jour reste alors jusqu’à l’expiration prévue par la destination. Cette durée de validité, le time to live ou TTL, concerne l’identifiant dans ce mécanisme. Certaines destinations ou catégories d’identifiants n’ont pas d’expiration automatique. Pour des distributions déjà en cours, la prise d’effet complète de Record Sync peut également dépendre de l’expiration des anciens identifiants. S09 S10

La fermeture d’une connexion doit donc être ordonnée avec soin : il faut transmettre les retraits avant de désactiver le canal qui les transporte. C’est une conséquence du fonctionnement décrit par LiveRamp, dont nous n’avons pas audité les campagnes de clients.

Les demandes individuelles d’exercice des droits passent par un circuit distinct. LiveRamp décrit la suppression dans les bases du client concerné, l’enregistrement des oppositions et la mise à disposition des demandes pour des destinations actives. L’entreprise indique aussi qu’elle ne peut pas appliquer les oppositions d’un acheteur aux segments tiers déjà présents dans les plateformes destinataires ; elle recommande un fichier d’exclusion appliqué avant leur distribution. Le périmètre dépend donc du client, du type de demande et de la destination. S11

Une copie à retirer, une réimportation à empêcher

Prenons un exemple fictif : un profil figure dans une base active, une copie de test, un export et une sauvegarde. Une suppression limitée à la base active laisse les trois autres occurrences en place. Si la sauvegarde est ensuite restaurée telle quelle, le profil revient dans le service.

Une sortie couvrant cet exemple demande plusieurs opérations : retirer le profil des copies de travail, traiter l’export, encadrer la conservation de la sauvegarde et filtrer une éventuelle restauration. Le schéma ci-dessous représente ces étapes. Il s’agit d’un cas pédagogique construit pour expliquer le mécanisme.

Un enregistrement minimal peut rester utile pour empêcher une nouvelle importation. La CNIL expose ce principe dans sa fiche du 10 juin 2026 sur les listes repoussoirs, qui servent à respecter l’opposition à la prospection. Elles conservent seulement les informations nécessaires à cette finalité. Une clé d’exclusion et un historique commercial complet remplissent des fonctions très différentes. S12

Les produits dérivés ont aussi une fin de vie

Le profil fabriqué à partir des traces peut devenir une audience, une table de correspondance, une statistique ou un modèle. Chacun de ces objets demande une règle de sortie. Un profil encore rattachable à une personne reste une donnée personnelle. Une statistique véritablement anonyme relève d’un autre régime. La CNIL distingue à ce titre l’anonymisation de la pseudonymisation, qui permet une réattribution avec des informations supplémentaires. S17

L’enjeu économique se situe aussi là. Lorsqu’un fournisseur peut légalement conserver un résultat anonyme après avoir retiré les données initiales, une partie de la valeur produite subsiste. Une mesure corrective qui vise les dérivés peut, elle, imposer la reconstruction de certaines capacités de service.

L’ordonnance Avast rendue finale en juin 2024 exige la suppression des données Jumpshot et des modèles, algorithmes et logiciels développés par Jumpshot à partir de ces données. Elle prévoit des exceptions de conservation, notamment pour des obligations légales, qui doivent être détaillées à la Federal Trade Commission, l’autorité américaine de protection des consommateurs. La portée de cette mesure est propre au dossier. S13 S15

Avast rappelle avoir fermé Jumpshot en janvier 2020 et conteste la description des faits par la FTC. L’accord ne comporte pas d’admission générale des allégations. Dans sa FAQ, l’entreprise indique également avoir demandé aux clients de Jumpshot de supprimer les données acquises. S14 S13

Pour lire une clause de sortie, le détail compte : couvre-t-elle seulement les fichiers reçus, ou aussi les audiences et résultats fabriqués ? La propriété contractuelle d’un livrable et le droit de traiter les données personnelles qu’il contient restent deux questions distinctes.

Avast doit effacer chez lui et écrire aux destinataires

La section III de l’ordonnance Avast fixe vingt jours à compter de sa prise d’effet pour supprimer les données et les dérivés visés chez les sociétés concernées. Elle exige une attestation adressée à la FTC sous peine de parjure. Dans le même délai, ces sociétés doivent aussi envoyer aux tiers ayant reçu les données de navigation des instructions de destruction, qui couvrent les informations, certains dérivés et logiciels d’analyse. Elles doivent attester de l’envoi de ces instructions et transmettre les correspondances au régulateur. S13

La distinction est opérationnelle : le vendeur agit directement sur ses propres systèmes, puis sollicite ceux des destinataires. Le suivi des réponses devient une tâche à part entière.

L’ordonnance Gravy Analytics–Venntel, finalisée le 14 janvier 2025, précise ce suivi dans sa section VIII. Elle propose une alternative à l’identification des destinataires : permettre aux consommateurs de demander la suppression dans leurs bases commerciales, transmettre ces demandes, réclamer des confirmations écrites et communiquer au consommateur les instructions envoyées ainsi que les confirmations reçues, lorsqu’elles existent, au plus tard 90 jours après sa demande. S16 S20

La section XIII vise également les données historiques de localisation et les produits dérivés. Elle permet leur conservation sous conditions, notamment si les sociétés obtiennent les éléments de consentement exigés ou transforment les données selon les critères de l’ordonnance pour les désidentifier ou les rendre non sensibles. Les délais, les objets concernés et ces conditions doivent être lus ensemble. S16

Les documents publics retenus décrivent ces obligations et les déclarations des entreprises. Le suivi complet des suppressions chez les anciens acheteurs de Jumpshot et les destinataires de Gravy reste hors du corpus accessible ; une partie des échanges de conformité peut être remise au régulateur sans publication.

Connaître les destinataires avant de fermer la porte

Derrière un fournisseur peuvent intervenir plusieurs sous-traitants successifs. Dans son avis 22/2024, adopté le 7 octobre 2024, le Comité européen de la protection des données précise que l’identité de tous ces acteurs doit être disponible pour le responsable du traitement et tenue à jour. Ce besoin d’inventaire s’applique quel que soit le niveau de risque. S05

L’intensité des vérifications, elle, s’adapte aux circonstances. Le même avis laisse au responsable le soin d’apprécier, au cas par cas, la nécessité d’obtenir et d’examiner les contrats de sous-traitance ultérieure. Les clauses types européennes organisent aussi la fourniture d’informations et les audits. S05 S04

Un compte rendu de sortie utile peut rapprocher l’inventaire des destinations, les opérations réalisées et les exceptions encore ouvertes : bases actives purgées, export retiré, sauvegarde protégée jusqu’à une date précise, réponse d’un destinataire attendue. Des journaux et un essai de restauration permettent d’examiner ce périmètre. Cette proposition de suivi doit être adaptée au service et aux risques, sans prétendre couvrir des copies clandestines ou des fichiers déjà exfiltrés.

Le coût de sortie appartient au prix du service

Les revenus d’une prestation s’arrêtent à une date assez facile à identifier. Le travail de fermeture peut continuer : cartographier les copies, identifier les dérivés, transmettre les retraits, suivre les réponses et retirer les sauvegardes. Ces opérations mobilisent des équipes et des capacités techniques après la dernière facture.

Cela crée une asymétrie : conserver peut préserver une utilité future pour le détenteur ; supprimer demande un effort immédiat et retire cette possibilité. C’est une lecture économique du mécanisme, dont les coûts complets ne sont pas chiffrés de façon comparable dans les documents étudiés.

Le contrat devrait donc préciser dès le départ qui finance et réalise cette sortie, quels environnements elle couvre et comment les exceptions prennent fin. Le client achète aussi une capacité à défaire la relation. Une prestation dont on connaît le prix d’entrée gagne à avoir un périmètre de sortie tout aussi explicite.

---

Sources et méthode

Recherche arrêtée au 19 septembre 2026. Les décisions des régulateurs, les déclarations des entreprises et la documentation produit sont identifiées séparément. Le contrat privé Deezer–Mobius est décrit à travers la décision de la CNIL. Les recherches effectuées n’ont pas fait ressortir de décision publique modifiant cette sanction ; l’état d’un éventuel recours reste à confirmer. Aucune demande de commentaire n’a été envoyée.

Le deuxième schéma est un exemple fictif de circulation et de retrait d’un profil. Les autres infographies présentent la chronologie Mobius et les obligations prévues par les ordonnances américaines. La suppression déclarée par Mobius concerne sa propre copie ; le devenir d’éventuelles copies exfiltrées échappe à ce périmètre.

1. S01 · Délibération SAN-2025-014 concernant Mobius SolutionsCNIL / Légifrance · décision administrative après procédure contradictoire. Adoption / décision : 2025-12-11 · Publication : 2025-12-19 · Consulté le 2026-09-19. §§ 5–8, 54–67, 72–77, 82–84 ; dispositif.
2. S02 · Violation de données : sanction d’un million d’euros contre Mobius SolutionsCNIL · communiqué du régulateur. Adoption / décision : 2025-12-11 · Publication : 2025-12-19 · Consulté le 2026-09-19. Date ; sections sur la conservation, la réutilisation et le registre.
3. S03 · Règlement (UE) 2016/679 : RGPDUnion européenne / EUR-Lex · texte normatif. Adoption / décision : 2016-04-27 · Publication : 2016-05-04 · Consulté le 2026-09-19. Articles 4, 5, 17, 19, 28 et 29.
4. S04 · Décision (UE) 2021/915 : clauses types responsable–sous-traitantCommission européenne / EUR-Lex · clauses contractuelles types officielles. Adoption / décision : 2021-06-04 · Publication : 2021-06-07 · Consulté le 2026-09-19. Annexe, clauses 7.6, 7.7 et 10(d).
5. S05 · Avis 22/2024 sur le recours aux sous-traitantsComité européen de la protection des données · avis institutionnel. Adoption / décision : 2024-10-07 · Consulté le 2026-09-19. §§ 31–32, 52, 65–71 ; résumé exécutif.
6. S06 · Deleting object versions from a versioning-enabled bucketAmazon Web Services · documentation technique du fournisseur. Consulté le 2026-09-19. Suppression simple sans versionId ; marqueur de suppression ; versions non courantes.
7. S07 · Cloud Data Processing AddendumGoogle Cloud · conditions contractuelles publiques. Consulté le 2026-09-19. Clauses 6.1, 6.2 et 6.3 ; éventuelles adaptations par produit en annexe 4.
8. S08 · Data deletion on Google CloudGoogle Cloud · documentation technique du fournisseur. Consulté le 2026-09-19. Étapes de suppression ; systèmes actifs et sauvegardes ; écrasement et effacement cryptographique.
9. S09 · Keep Destination Data Fresh with Record SyncLiveRamp · documentation produit du fournisseur. Consulté le 2026-09-19. How Record Sync Works ; note après le tableau TTL ; Removing a segment.
10. S10 · How LiveRamp Refreshes Distributed DataLiveRamp · documentation produit du fournisseur. Consulté le 2026-09-19. Distributions standard et retraits ; durée de validité chez la destination.
11. S11 · Sending Data Subject Rights RequestsLiveRamp · documentation produit du fournisseur. Consulté le 2026-09-19. Périmètre des demandes ; restrictions sur segments tiers et comptes clients.
12. S12 · Comment utiliser une liste repoussoir pour respecter l’opposition à la prospection commerciale ?CNIL · doctrine institutionnelle. Publication : 2026-06-10 · Consulté le 2026-09-19. Données strictement nécessaires ; finalité exclusive de respect de l’opposition.
13. S13 · Avast : plainte et ordonnance finaleFederal Trade Commission · plainte et ordonnance issue d’un accord. Publication : 2024-06-26 · Consulté le 2026-09-19. Ordonnance III.A–B, p. 6–7 de l’ordonnance (PDF p. 18–19) ; préambule.
14. S14 · Jumpshot settlement FAQsAvast · réponse publique de l’entreprise. Consulté le 2026-09-19. Fermeture de Jumpshot ; désaccord avec les allégations.
15. S15 · Avast : dossier de procédureFederal Trade Commission · index officiel de procédure. Consulté le 2026-09-19. Chronologie : finalisation de juin 2024.
16. S16 · Gravy Analytics–Venntel : ordonnance finale et plainteFederal Trade Commission · plainte et ordonnance issue d’un accord. Publication : 2025-01-14 · Consulté le 2026-09-19. Ordonnance VIII, p. 9–10 (PDF p. 23–24) ; XIII, p. 11–12 (PDF p. 25–26).
17. S17 · L’anonymisation de données personnellesCNIL · doctrine institutionnelle. Publication : 2020-05-19 · Consulté le 2026-09-19. Distinction anonymisation / pseudonymisation.
18. S18 · Sous-traitants : la réutilisation de données confiées par un responsable de traitementCNIL · doctrine institutionnelle. Publication : 2022-01-11 · Consulté le 2026-09-19. Autorisation écrite préalable ; finalité du réemploi ; compatibilité ; obligations propres.
19. S19 · Les durées de conservation des donnéesCNIL · doctrine institutionnelle. Publication : 2026-04-02 · Consulté le 2026-09-19. Base active et archivage intermédiaire ; finalités et accès.
20. S20 · Gravy Analytics : dossier de procédureFederal Trade Commission · index officiel de procédure. Consulté le 2026-09-19. Chronologie : plainte le 3 décembre 2024 ; ordonnance finale le 14 janvier 2025.