Droit à l'effacement RGPD en Belgique : que faire quand un prospect demande la suppression de ses données

Quand un prospect envoie un courriel pour demander la suppression de toutes ses données, la haute école a un mois pour répondre et agir — délai fixé par l'article 12 du RGPD (Règlement UE 2016/679). En Belgique, ce délai s'applique directement, complété par la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données (LVP). L'autorité de contrôle est l'APD (Autorité de protection des données) — et non la CNIL française. Une absence de réponse ou une réponse tardive expose l'établissement à des sanctions pouvant atteindre 20 millions EUR ou 4 % du chiffre d'affaires mondial.

Pour les équipes admissions et marketing des hautes écoles et universités de la Fédération Wallonie-Bruxelles (FWB), ce droit s'applique aux prospects bien avant toute inscription : un candidat qui a téléchargé une brochure, rempli un formulaire Campus Days ou interagi avec un chatbot de recrutement peut exercer ce droit à tout moment. Ce guide vous explique comment traiter ces demandes de manière conforme, efficace et traçable.

Pour comprendre le cadre général de protection des données dans l'enseignement supérieur belge, consultez notre guide RGPD et données étudiantes pour les établissements belges.

Ce que le RGPD et la LVP prévoient pour le droit à l'effacement

L'article 17 du RGPD consacre le droit à l'effacement, également appelé « droit à l'oubli ». Toute personne physique peut demander à un responsable de traitement d'effacer ses données personnelles, et ce responsable est tenu d'y donner suite dans les situations prévues par le règlement. La LVP belge ne modifie pas le fond de ce droit mais précise certains aspects procéduraux applicables aux organismes d'intérêt public, dont font partie les hautes écoles subventionnées et les universités de la FWB.

Qui peut exercer ce droit ? Toute personne physique dont les données sont traitées par l'établissement — y compris un simple prospect qui n'a jamais franchi la porte de l'école. Il n'y a pas de condition d'inscription préalable. Le prospect qui a laissé son email sur un stand du Salon Educa Bruxelles, le lycéen qui a posé une question à votre chatbot, l'adulte en reprise d'études qui a demandé une documentation sur le minerval : tous sont des personnes concernées au sens du RGPD.

Quel délai ? Un mois à compter de la réception de la demande (article 12 RGPD). Ce délai peut être prorogé de deux mois supplémentaires en cas de demandes multiples ou complexes, à condition d'informer le demandeur dans le premier mois. L'APD contrôle le respect de ces délais lors de ses inspections — une réponse le 32e jour suffit à constituer un manquement documentable.

Quelle forme pour la demande ? Aucune forme particulière n'est imposée. Une demande par email, via un formulaire de contact ou même verbalement lors d'une journée portes ouvertes déclenche le délai. L'établissement peut demander une pièce d'identité pour vérifier l'identité du demandeur, mais ne peut pas subordonner le traitement de la demande à cette vérification si l'identité est déjà certaine.

Les trois déclencheurs principaux d'une demande d'effacement

Toutes les demandes d'effacement ne se valent pas juridiquement. L'article 17 RGPD liste six situations dans lesquelles le droit à l'effacement s'applique de plein droit. Pour les prospects d'une haute école ou université belge, trois situations sont de loin les plus fréquentes.

Dans la pratique des hautes écoles belges, la situation la plus courante est le retrait du consentement marketing : un prospect qui s'est désabonné d'une newsletter et souhaite aller plus loin en demandant la suppression complète de son profil. La deuxième situation fréquente est l'opposition au traitement fondé sur l'intérêt légitime, notamment lorsque l'établissement maintient un profil prospect dans son CRM sans avoir obtenu de consentement explicite.

Les motifs légitimes de refus — le droit à l'effacement n'est pas absolu

L'article 17.3 du RGPD liste des exceptions dans lesquelles l'établissement peut refuser un effacement, totalement ou partiellement. Ces exceptions doivent être appréciées rigoureusement : un refus mal fondé est aussi problématique qu'un effacement injustifié.

Exception 1 — Exercice de la liberté d'expression et d'information. Peu applicable au contexte prospect, mais pertinent si les données sont publiées dans un rapport ou une étude académique.

Exception 2 — Respect d'une obligation légale. Si l'établissement est soumis à une obligation de conservation (comptabilité, dossiers d'inscription, obligations imposées par l'ARES ou le décret Paysage de la FWB), il peut refuser l'effacement pour les données couvertes par cette obligation. Attention : l'obligation légale doit être précise et proportionnée. Conserver l'intégralité d'un dossier prospect pour une obligation comptable portant sur une facture d'inscription est disproportionné si la candidature n'a pas abouti à un contrat.

Exception 3 — Constatation, exercice ou défense de droits en justice. Si l'établissement est impliqué dans une procédure judiciaire impliquant le prospect, il peut conserver les données nécessaires à sa défense. Cette exception est temporaire et limitée aux données strictement utiles à la procédure.

Exception 4 — Archivage dans l'intérêt public, recherche scientifique ou historique. La LVP belge (article 24) contient des dispositions spécifiques sur l'archivage académique qui peuvent justifier une conservation au-delà de la durée standard, mais uniquement pour des données anonymisées ou pseudonymisées dans un cadre de recherche documenté.

La notion de refus partiel est importante en pratique : l'établissement peut effacer les données marketing d'un prospect tout en conservant un enregistrement minimal (nom, date de la demande, confirmation d'effacement) pour démontrer sa conformité à l'APD. Ce « registre des effacements » est une bonne pratique documentaire recommandée par l'APD dans ses lignes directrices.

Procédure en 5 étapes avec calendrier jour par jour

Une demande d'effacement bien traitée suit un processus structuré. Voici la procédure recommandée pour les hautes écoles et universités de la FWB, conforme aux attentes de l'APD.

Jour 1 — Réception et accusé de réception. Accusez réception de la demande dans les 24 à 48 heures. Cet accusé de réception ne vaut pas acceptation de la demande : il confirme simplement que vous l'avez bien reçue et que le délai d'un mois commence à courir. Si la demande arrive par un canal non officiel (réseau social, téléphone), consignez-la par écrit et demandez une confirmation écrite pour la traçabilité.

Jours 2 à 5 — Vérification de l'identité et cartographie des données. Vérifiez l'identité du demandeur si elle n'est pas certaine — sans demander de pièce d'identité de manière systématique. Cartographiez toutes les données détenues sur ce prospect : CRM, outil d'emailing, logs du chatbot, sauvegardes, analytics nominatives, système d'inscription en ligne. Cette étape révèle souvent des données oubliées dans des systèmes secondaires.

Jours 6 à 15 — Évaluation juridique. Déterminez si une exception de l'article 17.3 RGPD s'applique. Consultez le DPO de l'établissement (obligatoire pour les hautes écoles subventionnées FWB). Si une exception partielle s'applique, documentez précisément quelles données sont conservées, pour quelle durée, et sur quelle base légale.

Jours 16 à 25 — Exécution de l'effacement. Supprimez les données dans tous les systèmes identifiés. Demandez aux sous-traitants (plateforme emailing, fournisseur de chatbot, CRM externe) d'exécuter l'effacement dans leurs systèmes — obligation directe de l'article 28 RGPD sur les contrats de sous-traitance. Conservez une trace de l'effacement (date, systèmes concernés, confirmation des sous-traitants).

Jours 26 à 30 — Réponse au demandeur. Répondez formellement au demandeur en confirmant l'effacement, en listant les systèmes concernés, et en expliquant tout refus partiel avec sa base légale. Si des données ont été conservées par exception, informez le prospect de son droit de contester cette décision auprès de l'APD. Conservez une copie de cette réponse dans votre registre des demandes de droits.

Durées de conservation des données prospects en Belgique

La durée de conservation est la clé de voûte d'une gestion conforme des données prospects. Une durée trop longue expose l'établissement à des demandes d'effacement en cascade et à des sanctions APD ; une durée trop courte prive le service recrutement de données utiles pour les campagnes saisonnières.

L'APD belge s'aligne sur les lignes directrices de l'EDPB (Comité européen de la protection des données) : 3 ans après le dernier contact actif est la durée maximale recommandée pour les données de prospects dans un contexte de recrutement. Le « dernier contact actif » s'entend d'une interaction réelle — ouverture d'un email, réponse à un message, participation à un Campus Days — et non d'une simple absence de désabonnement.

Voici les durées recommandées par catégorie de données prospect :

• Coordonnées (email, téléphone, nom) — 3 ans après le dernier contact actif, puis purge automatisée
• Profil d'intérêt (programme, niveau visé) — Liée à la durée du profil prospect, même base de 3 ans
• Logs de conversation chatbot (anonymisés) — 12 mois maximum pour les besoins d'amélioration du service
• Données d'interaction marketing (clics, ouvertures, participation aux Campus Days) — 3 ans après le dernier contact actif
• Données collectées sans base légale valide — Effacement sans délai dès que le manquement est identifié

L'obligation de purge automatisée est souvent sous-estimée : l'APD ne se contente pas de vérifier que les durées sont inscrites dans le registre des traitements, elle contrôle que des mécanismes techniques de purge effective sont en place. Un registre mentionnant « 3 ans » mais un CRM contenant des prospects datant de 2018 est un signal d'alarme lors d'une inspection. Pour une vision complète des obligations de conservation, notre guide de protection des données prospects couvre les bases légales applicables à chaque canal.

Chatbot IA, CRM et droit à l'effacement : les implications concrètes

Les établissements qui utilisent un chatbot IA de recrutement et un CRM font face à une complexité supplémentaire lors d'une demande d'effacement : les données prospect sont disséminées dans plusieurs systèmes, et chaque système a ses propres mécanismes de suppression.

Les établissements partenaires de Skolbot traitent en médiane 195 leads qualifiés par mois (Source : Benchmark Skolbot 2024-2025, panel de 18 établissements). Pour un établissement qui accumule 195 leads par mois, le volume cumulé sur 3 ans représente plus de 7 000 profils. Sans procédure de droit à l'effacement structurée — et sans purge automatisée — ce volume devient rapidement ingérable et expose l'établissement à un risque APD systémique.

Dans le chatbot IA, les données à effacer lors d'une demande incluent : les logs de conversation (même anonymisés partiellement), les profils de prospect créés dans l'interface du chatbot, et les données transmises au CRM via l'intégration. Le contrat avec le fournisseur du chatbot doit prévoir une clause d'effacement sur demande conforme à l'article 28 RGPD — vérifiez que cette clause existe et que le fournisseur peut l'exécuter dans le délai d'un mois.

Dans le CRM, l'effacement doit couvrir le contact principal, mais aussi les activités associées (emails envoyés, notes de relance, interactions Campus Days), les segments et listes auxquels le prospect appartient, et les sauvegardes si elles sont accessibles et non archivées. Certains CRM du marché permettent une suppression « douce » (soft delete) qui masque le contact sans l'effacer réellement — cette pratique n'est pas conforme au RGPD pour une demande d'effacement.

Dans l'outil d'emailing, le désabonnement ne suffit pas : il faut supprimer le contact de la base, et non le maintenir avec un statut « désinscrit ». L'APD belge a précisé que maintenir une adresse email dans une liste avec un tag « désinscrit » constitue toujours un traitement de données personnelles soumis au RGPD.

Pour les consentements et cookies liés au widget chatbot, notre article sur la conformité cookies RGPD pour les écoles belges détaille les obligations spécifiques. Pour l'audit complet de votre conformité RGPD, consultez notre checklist d'audit RGPD pour les hautes écoles belges.