Droit à la limitation du traitement RGPD : guide 2026

C’est le droit RGPD le moins connu — et celui qui déstabilise le plus les équipes conformité. Quand une personne demande la « limitation » de ses données plutôt que leur effacement, beaucoup d’organisations ne savent pas quoi faire : ni supprimer, ni continuer comme avant. Voici comment gérer correctement une demande de limitation, sans surréagir ni la négliger.

Ce que signifie « limiter » un traitement

L’article 18 du RGPD consacre le droit à la limitation du traitement. L’idée est simple : la personne concernée obtient le gel temporaire de ses données. L’organisme les conserve, mais ne peut plus les utiliser — sauf exceptions précises.

C’est un droit intermédiaire, à mi-chemin entre le droit à l’effacement (qui supprime définitivement les données) et le simple maintien du traitement. L’article 4(3) du RGPD définit d’ailleurs la limitation comme « le marquage de données à caractère personnel conservées, en vue de limiter leur traitement futur ». Pour l’analyse texte par texte, voyez notre décryptage de l’article 18 du RGPD.

Dans mon expérience de conseil auprès de PME, la confusion la plus fréquente consiste à traiter une demande de limitation comme une demande d’effacement, ou inversement. Ce sont deux droits distincts, avec des effets et des conditions différents. Répondre à côté expose l’organisation à une plainte auprès de la CNIL.

Les 4 cas où la limitation s’impose

Contrairement à ce que pensent beaucoup de responsables, le droit à la limitation n’est pas discrétionnaire. La personne ne peut l’exercer que dans quatre situations limitativement énumérées par l’article 18(1) du RGPD.

Cas 1 — L’exactitude des données est contestée (art. 18(1)(a)). La personne affirme que ses données sont inexactes. La limitation s’applique pendant la durée nécessaire à la vérification de leur exactitude. C’est le cas le plus courant : un client conteste une adresse, un montant ou une information de son dossier, et demande le gel le temps que vous vérifiiez.

Cas 2 — Le traitement est illicite mais la personne refuse l’effacement (art. 18(1)(b)). Ici, la personne pourrait demander la suppression, mais préfère la limitation. Typiquement parce qu’elle a besoin que les données restent conservées, par exemple pour un futur litige.

Cas 3 — Vous n’avez plus besoin des données, mais la personne si (art. 18(1)©). Le responsable de traitement n’a plus l’utilité des données au regard de ses finalités, et devrait normalement les effacer. Mais la personne concernée en a besoin « pour la constatation, l’exercice ou la défense de droits en justice ». La limitation permet de les geler au lieu de les détruire.

Cas 4 — Une opposition est en cours d’examen (art. 18(1)(d)). La personne a exercé son droit d’opposition au titre de l’article 21(1). La limitation s’applique pendant la vérification que vos motifs légitimes ne prévalent pas sur les siens.

Si la demande ne rentre dans aucun de ces quatre cas, vous n’êtes pas tenu d’y faire droit — mais vous devez motiver votre refus et informer la personne de son droit de saisir la CNIL.

Ce que vous pouvez encore faire avec des données « limitées »

Une fois la limitation active, l’article 18(2) verrouille l’usage des données. Elles ne peuvent plus faire l’objet que de leur conservation. Toute autre opération est interdite, sauf dans quatre hypothèses :

• avec le consentement de la personne concernée ;
• pour la constatation, l’exercice ou la défense de droits en justice ;
• pour la protection des droits d’une autre personne physique ou morale ;
• pour un motif important d’intérêt public de l’Union ou d’un État membre.

En pratique, cela veut dire qu’un compte client sous limitation ne doit plus alimenter vos campagnes marketing, vos scores, vos analyses ni aucun traitement actif. Les données restent en base, marquées, mais gelées. C’est ce marquage qui pose le plus de difficultés techniques : il faut être capable, dans votre système d’information, d’isoler un enregistrement et d’empêcher son exploitation par les traitements automatisés.

Le considérant 67 du RGPD suggère plusieurs méthodes concrètes : déplacer temporairement les données vers un autre système de traitement, les rendre indisponibles aux utilisateurs, ou retirer temporairement des données publiées d’un site web. Le choix dépend de votre architecture, mais l’objectif reste le même : garantir qu’aucun traitement actif ne s’applique pendant la limitation.

L’obligation d’information avant de lever la limitation

Point souvent oublié : l’article 18(3) impose d’informer la personne avant que la limitation ne soit levée. Vous ne pouvez pas réactiver silencieusement le traitement une fois la vérification terminée. Cette notification préalable — un courriel ou un courrier horodaté, avec justification claire — fait partie intégrante de la conformité et doit être tracée dans votre documentation.

Notifier les destinataires : l’article 19 en pratique

La limitation ne s’arrête pas à votre organisation. L’article 19 du RGPD impose de notifier la limitation à chaque destinataire auquel les données ont été communiquées — sous-traitants, partenaires, autres responsables — à moins que cela ne se révèle impossible ou n’exige des efforts disproportionnés.

Concrètement, si vous avez transmis les données d’un client à un prestataire de facturation ou à un outil marketing, ceux-ci doivent être prévenus de la limitation pour geler à leur tour l’exploitation. C’est ce type de coordination — identifier les destinataires, propager le gel, tracer les notifications — que des outils comme Legiscope permettent d’automatiser plutôt que de le gérer manuellement à chaque demande. Notre décryptage de l’article 19 détaille les modalités de cette notification.

La personne peut également demander à connaître la liste des destinataires notifiés. Anticipez cette question en tenant à jour votre cartographie des flux.

Délais : le mois de l’article 12(3)

Comme pour l’ensemble des droits des personnes — à l’image du droit d’accès —, la demande de limitation doit être traitée dans un délai d’un mois à compter de sa réception (article 12(3) du RGPD). Ce délai peut être prolongé de deux mois supplémentaires en cas de demande complexe ou de volume important, à condition d’en informer la personne dans le mois initial.

Attention : la limitation elle-même, dans le cas de l’exactitude contestée (cas 1), doit être mise en place dès réception de la demande et non au terme du mois. Le gel intervient pendant la vérification, pas après. Faire tourner un traitement contesté pendant tout le délai d’instruction vous exposerait.

Modèle de réponse à une demande de limitation

Voici une trame de réponse que vous pouvez adapter. Elle couvre l’accusé de réception, la qualification de la demande et l’information sur les suites.

Objet : Votre demande de limitation du traitement de vos données

Madame, Monsieur,

Nous accusons réception de votre demande de limitation du traitement de vos données personnelles, formulée le [date], sur le fondement de l’article 18 du RGPD.

Après examen, votre demande relève du cas suivant : [contestation de l’exactitude / opposition en cours d’examen / …]. En conséquence, nous avons procédé au marquage de vos données et suspendu tout traitement actif les concernant, à l’exception de leur conservation, à compter du [date].

Cette limitation restera en vigueur [pendant la vérification de … / jusqu’à …]. Nous vous informerons préalablement à toute levée de cette limitation, conformément à l’article 18(3) du RGPD.

Les destinataires de vos données ont été informés de cette limitation, sauf impossibilité ou effort disproportionné.

Vous disposez d’un droit de réclamation auprès de la CNIL.

Adaptez systématiquement le cas d’ouverture et les effets : une réponse générique qui ne qualifie pas la demande est un signal de non-conformité.

Ce qu’il faut retenir

• Le droit à la limitation (art. 18 RGPD) permet de geler des données sans les supprimer : l’organisme les conserve mais ne peut plus les exploiter.
• Il n’est ouvert que dans 4 cas : exactitude contestée, traitement illicite sans effacement souhaité, données inutiles au responsable mais utiles à la personne, opposition en cours d’examen.
• Pendant la limitation, seule la conservation est autorisée, sauf consentement, défense de droits en justice, protection des droits d’un tiers ou motif d’intérêt public important (art. 18(2)).
• Il faut informer la personne avant de lever la limitation (art. 18(3)) et notifier les destinataires (art. 19).
• Le délai de réponse est d’un mois (art. 12(3)), mais le gel doit être immédiat dans le cas de l’exactitude contestée.

FAQ

Quelle différence entre droit à la limitation et droit à l’effacement ?

Le droit à l’effacement supprime définitivement les données, tandis que la limitation les gèle : elles restent conservées mais ne peuvent plus être exploitées. La limitation est souvent temporaire, le temps d’une vérification, alors que l’effacement est définitif.

Peut-on refuser une demande de limitation ?

Oui, si la demande ne relève d’aucun des quatre cas prévus par l’article 18(1) du RGPD. Le refus doit être motivé, notifié dans le délai d’un mois, et accompagné de l’information sur le droit de saisir la CNIL et d’exercer un recours juridictionnel.

Faut-il conserver une trace de la limitation ?

Oui. La documentation de la demande, de sa qualification, de la date du gel et des notifications aux destinataires relève du principe de responsabilité (accountability, art. 24 RGPD). En cas de contrôle de la CNIL, c’est cette traçabilité qui démontre votre conformité.

La limitation concerne-t-elle aussi mes sous-traitants ?

Oui. Au titre de l’article 19, vous devez notifier la limitation à tous les destinataires des données, y compris vos sous-traitants, sauf impossibilité ou effort disproportionné. Vos contrats de sous-traitance doivent prévoir la répercussion de ces demandes.

Vous gérez régulièrement des demandes d’exercice de droits ? Recevez nos modèles et analyses de conformité RGPD directement par email : inscrivez-vous à notre newsletter.