Blog

Droit a la limitation du traitement RGPD (article 18) : geler des donnees sans les supprimer

Publie le 12/10/2026 · Temps de lecture : 9 min

Un client conteste l'exactitude d'une donnee que vous detenez sur lui. Vous n'etes pas encore en mesure de trancher qui a raison, mais vous ne pouvez pas non plus continuer a utiliser cette donnee comme si la contestation n'existait pas, ni la supprimer purement et simplement puisque le desaccord n'est pas encore resolu. Le RGPD prevoit precisement cette situation intermediaire a travers un droit souvent meconnu, plus discret que le droit a l'effacement ou le droit d'opposition : le droit a la limitation du traitement, prevu a l'article 18.

Ce guide detaille les quatre cas dans lesquels ce droit peut etre invoque, ce qu'une entreprise peut encore faire (ou non) avec une donnee limitee, et comment le mettre en oeuvre concretement dans une TPE ou une PME qui ne dispose pas toujours d'un systeme d'information permettant de « geler » une fiche client en un clic.

Sommaire

• 1. Le droit a la limitation, article 18 du RGPD
• 2. Les quatre cas d'ouverture prevus par l'article 18.1
• 3. Ce qu'une entreprise peut encore faire d'une donnee limitee
• 4. Limitation, effacement, opposition : ne pas confondre
• 5. La levee de la limitation et l'obligation d'informer
• 6. Prevenir les destinataires : l'obligation de l'article 19
• 7. Mettre en oeuvre la limitation dans une TPE ou une PME
• 8. Les risques en cas de non-respect
• Questions frequentes

1. Le droit a la limitation, article 18 du RGPD

Le droit a la limitation du traitement permet a une personne d'obtenir que le traitement de ses donnees personnelles soit « gele » : les donnees restent stockees chez l'entreprise, mais elles ne peuvent plus etre utilisees activement, sauf exceptions precises. Il est encadre par l'article 18 du RGPD, qui en fixe a la fois les conditions d'ouverture (paragraphe 1), les effets concrets (paragraphe 2) et l'obligation d'information liee a sa levee (paragraphe 3).

Ce droit occupe une place particuliere dans l'architecture du RGPD : il ne tranche rien par lui-meme, il met le traitement « en pause » le temps qu'un autre mecanisme (verification d'exactitude, examen d'une opposition, resolution d'un contentieux) suive son cours. C'est pour cette raison qu'il est frequemment associe a d'autres droits, notamment le droit de rectification (article 16) et le droit d'opposition (article 21), dont il constitue en quelque sorte la mesure conservatoire.

2. Les quatre cas d'ouverture prevus par l'article 18.1

Contrairement au droit d'acces ou au droit a l'effacement, qui s'exercent de maniere assez generale, le droit a la limitation ne peut etre invoque que dans quatre situations precisement definies par le RGPD :

• La personne conteste l'exactitude d'une donnee (article 18.1.a). La limitation s'applique alors pendant une duree permettant a l'entreprise de verifier si la donnee est exacte ou non, en complement du droit de rectification prevu a l'article 16.
• Le traitement est illicite, mais la personne s'oppose a l'effacement (article 18.1.b). Une personne peut preferer que ses donnees soient conservees plutot qu'effacees, par exemple si elle en a besoin comme preuve dans un litige, meme si le traitement initial n'avait pas de base legale valable.
• L'entreprise n'a plus besoin des donnees, mais la personne en a besoin pour un contentieux (article 18.1.c). Typiquement, une entreprise qui aurait normalement du supprimer des donnees arrivees en fin de duree de conservation, mais que la personne demande a conserver pour faire valoir un droit devant une juridiction.
• La personne s'est opposee au traitement au titre de l'article 21.1 (article 18.1.d). Le temps que l'entreprise verifie si ses motifs legitimes et imperieux prevalent sur les interets de la personne, le traitement doit etre limite plutot que poursuivi normalement.

Ces quatre cas ont un point commun : ils correspondent tous a une situation transitoire, dans laquelle une question reste ouverte. Le droit a la limitation n'est jamais une fin en soi ; il accompagne toujours la resolution d'un autre droit ou d'un autre litige.

3. Ce qu'une entreprise peut encore faire d'une donnee limitee

Une fois la limitation activee, l'article 18.2 du RGPD restreint tres fortement ce que l'entreprise peut faire de la donnee concernee. Par defaut, elle peut uniquement la stocker, sans l'utiliser. Le texte prevoit quatre exceptions cumulatives avec le stockage, qui permettent un traitement actif malgre la limitation :

• avec le consentement de la personne concernee ;
• pour la constatation, l'exercice ou la defense de droits en justice ;
• pour la protection des droits d'une autre personne, physique ou morale ;
• pour des motifs importants d'interet public de l'Union europeenne ou d'un Etat membre.

En dehors de ces cas, toute action active sur la donnee constitue un manquement pendant la duree de la limitation : un envoi d'email a un contact dont le traitement est limite, une mise a jour automatique d'un score dans un CRM, ou le partage de la fiche avec un partenaire commercial. Pour une TPE ou une PME, cela signifie concretement qu'une fiche client « gelee » doit etre exclue des exports, des campagnes d'emailing automatisees et des synchronisations avec des outils tiers, sans pour autant etre effacee de la base.

4. Limitation, effacement, opposition : ne pas confondre

Ces trois droits sont souvent evoques ensemble parce qu'ils aboutissent, en apparence, a un resultat proche : arreter l'usage d'une donnee. Leurs logiques sont pourtant distinctes :

• le droit a l'effacement (article 17) supprime definitivement la donnee, sous reserve des obligations legales de conservation (factures, par exemple) ;
• le droit d'opposition (article 21) arrete un usage particulier (la prospection commerciale, notamment) tout en laissant la donnee disponible pour d'autres finalites legitimes ;
• le droit a la limitation (article 18) gele la totalite des usages actifs de la donnee concernee, sans la supprimer, le temps qu'une question en suspens soit tranchee.

La limitation peut d'ailleurs s'articuler avec les deux autres : une personne qui conteste l'exactitude d'une donnee (article 16) peut demander sa limitation en attendant la verification (article 18.1.a), et une personne qui s'oppose a un traitement (article 21.1) beneficie automatiquement d'une limitation le temps que l'entreprise evalue sa demande (article 18.1.d). Pour mieux cerner ces articulations, notre article sur le droit a l'effacement detaille le mecanisme le plus souvent confondu avec la limitation.

5. La levee de la limitation et l'obligation d'informer

L'article 18.3 du RGPD impose une obligation precise : avant de lever une limitation, l'entreprise doit en informer la personne concernee. Cette information prealable a un objectif concret : permettre a la personne de reagir si elle estime que la question en suspens n'est pas resolue, par exemple en apportant une preuve complementaire sur l'exactitude contestee d'une donnee avant que l'entreprise ne reprenne un traitement normal.

Le RGPD ne fixe pas de duree maximale pour une limitation : elle dure le temps necessaire a la resolution de la situation qui l'a declenchee. Une contestation d'exactitude qui se prolonge sans que l'entreprise ne fasse aucune verification constitue en revanche un manquement independant, dans la mesure ou le RGPD attend une reponse diligente a toute demande d'exercice de droits, dans le delai general d'un mois prevu a l'article 12.3, prolongeable de deux mois pour une demande complexe.

6. Prevenir les destinataires : l'obligation de l'article 19

Un traitement limite ne reste pas toujours confine aux systemes internes de l'entreprise qui a recu la demande. L'article 19 du RGPD impose de communiquer toute limitation (comme toute rectification ou tout effacement) a chacun des destinataires auxquels les donnees ont ete transmises, sauf si cela se revele impossible ou exige des efforts disproportionnes. La personne concernee peut en outre demander a etre informee de l'identite de ces destinataires.

Pour une TPE ou une PME qui transmet des donnees a des prestataires exterieurs (outil d'emailing, CRM heberge, plateforme de facturation), cela signifie qu'une limitation activee sur la base de donnees interne doit, dans la mesure du possible, etre repercutee chez ces prestataires : signaler la fiche comme geler aupres de l'outil d'emailing pour qu'elle soit exclue des campagnes automatisees, par exemple. C'est l'un des points que les clauses prevues a l'article 28 du RGPD avec chaque sous-traitant doivent en principe couvrir.

7. Mettre en oeuvre la limitation dans une TPE ou une PME

Beaucoup d'outils utilises par les petites structures (CRM standard, tableur, outil d'emailing) ne proposent pas de fonction « limitation du traitement » prete a l'emploi. Trois approches pratiques permettent neanmoins de s'y conformer sans developpement specifique :

• Marquer la fiche avec un statut dedie. Un champ ou une etiquette « traitement limite » dans le CRM ou le tableur de suivi clients, visible par toute personne qui consulte la fiche, suffit a materialiser la limitation et a eviter un usage involontaire.
• Exclure la fiche des traitements automatises. Retirer le contact des listes d'emailing, des exports planifies et des synchronisations avec des outils tiers, sans supprimer la fiche elle-meme de la base principale.
• Isoler les donnees dans un espace de stockage separe. Pour les cas les plus sensibles, deplacer les donnees concernees vers un acces restreint (dossier dedie, acces limite a une seule personne) garantit qu'aucun traitement actif ne pourra avoir lieu par erreur, tout en conservant la donnee disponible pour les exceptions prevues a l'article 18.2.

Dans tous les cas, la date de debut de la limitation, son motif (lequel des quatre cas de l'article 18.1) et, le cas echeant, sa date de levee doivent etre consignes, par exemple dans le registre des traitements tenu par l'entreprise : c'est la piece qui permet de justifier, en cas de controle, qu'une demande a ete traitee et suivie dans le temps.

8. Les risques en cas de non-respect

Le droit a la limitation fait partie des droits des personnes prevus au chapitre III du RGPD, au meme titre que le droit d'acces ou le droit a l'effacement. Un manquement a ce droit expose donc une entreprise au meme regime de sanctions que tout autre manquement a ce chapitre : conformement a l'article 83.5 du RGPD, les violations des droits des personnes concernees figurent parmi celles pouvant donner lieu a une amende administrative pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus eleve etant retenu. Ce plafond concerne surtout les grandes entreprises ; pour une TPE ou une PME, le risque le plus frequent reste une mise en demeure de la CNIL faisant suite a une plainte individuelle, generalement apres qu'un client ait constate que ses donnees continuaient a etre utilisees malgre une demande de limitation restee sans suite.

La limitation du traitement est souvent demandee en parallele d'une opposition a la prospection commerciale : pour comprendre les regles propres a ce second droit, notre article sur le droit d'opposition RGPD (article 21) detaille les deux regimes d'opposition prevus par le RGPD et les delais de reponse associes.

Questions frequentes

A lire aussi

Droits des personnes

Droit de rectification RGPD (article 16) : comment corriger des donnees inexactes

Lire

Droits des personnes

Droit d'opposition RGPD (article 21) : quand un client peut-il refuser le traitement de ses donnees ?

Lire

Droits des personnes

Droit a l'effacement (droit a l'oubli) RGPD : que faire quand un client demande la suppression de ses donnees

Lire