Pappers rediffuse le répertoire Sirene de l’INSEE, les annonces du BODACC et les actes déposés via l’INPI. Toute personne physique identifiée comme dirigeant, associé ou entrepreneur individuel y figure par défaut. Protéger sa vie privée sur ce type de plateforme suppose d’agir sur la source des données, pas sur le site lui-même.
Copies résiduelles après non-diffusion Sirene : le vrai angle mort
Le statut de non-diffusion au répertoire Sirene (article A123-96 du code de commerce) coupe l’alimentation de Pappers en données d’identification. Le formulaire dédié de l’INSEE permet d’activer ce statut, et Pappers synchronise ensuite ses bases automatiquement.
Le problème commence après cette étape. Le cache de Google, les snapshots de la Wayback Machine, les copies conservées par Societe.com, Verif, Manageo ou BFM Bourse ne disparaissent pas avec la mise à jour Sirene. Ces sites exploitent leurs propres bases, alimentées à des rythmes différents, et certains conservent un historique permanent.
Une fiche d’entreprise indexée par Google reste accessible même si la page source a été modifiée, tant que le moteur n’a pas recrawlé l’URL. Pour un dirigeant souhaitant ne pas apparaître sur Pappers ni sur les autres rediffuseurs, la non-diffusion Sirene ne constitue que la première étape d’un travail de nettoyage plus large.
Concrètement, après activation de la non-diffusion, il faut :
- Vérifier chaque rediffuseur individuellement (Pappers, Societe.com, Infogreffe, Manageo, Verif) et signaler la mise à jour si elle n’est pas répercutée sous quelques semaines
- Soumettre une demande de suppression d’URL obsolète via Google Search Console ou le formulaire de déréférencement de Google, pour chaque résultat de recherche pointant vers une ancienne version de la fiche
- Surveiller les archives web (Wayback Machine) et envoyer une demande de retrait si des données personnelles y figurent encore, en invoquant le droit à l’effacement prévu par le RGPD
Demande directe à Pappers et limites du RGPD pour les données d’entreprise
Pappers met à disposition un formulaire de réclamation pour les demandes de retrait de données personnelles. Pour les personnes physiques (entrepreneurs individuels, dirigeants), la plateforme oriente d’abord vers la procédure INSEE. Si le statut de non-diffusion est déjà actif et que les données persistent sur Pappers, le formulaire de réclamation permet de signaler le décalage.
Pour les personnes morales, la situation est différente. Les données d’une société (raison sociale, SIREN, siège, comptes annuels) ne sont pas des données personnelles au sens du RGPD. Le droit à l’effacement de l’article 17 du règlement ne s’applique qu’aux personnes physiques. Un dirigeant peut demander le retrait de son nom, de sa date de naissance ou de son adresse personnelle, mais pas celui de la dénomination sociale ou du numéro SIREN de son entreprise.
Les comptes annuels posent un cas particulier. Les microentreprises et petites entreprises peuvent opter pour la confidentialité de leurs comptes lors du dépôt au greffe. Cette option empêche la rediffusion par Pappers et les autres agrégateurs. En revanche, si les comptes ont déjà été publiés sans mention de confidentialité, le retrait rétroactif n’est pas garanti : les données ont pu être copiées et indexées avant la demande.
Recours CNIL : quand et sur quel fondement saisir l’autorité
La CNIL intervient lorsqu’un responsable de traitement ne répond pas dans le délai d’un mois prévu par le RGPD, ou lorsque le refus n’est pas motivé. Avant de saisir la CNIL, il faut pouvoir démontrer que la demande initiale a bien été adressée au bon interlocuteur (INSEE pour Sirene, Pappers pour les données résiduelles) et qu’elle est restée sans suite.
Le fondement le plus solide pour une réclamation auprès de la CNIL repose sur l’article 17 du RGPD (droit à l’effacement) combiné à l’article 21 (droit d’opposition). Le droit d’opposition au traitement à des fins de prospection commerciale est absolu : Pappers ne peut pas le refuser. Pour les autres finalités, il faut démontrer que les intérêts de la personne concernée prévalent sur ceux du responsable de traitement.
Ce que la CNIL ne peut pas imposer
La CNIL ne peut pas ordonner la suppression de données publiées en vertu d’une obligation légale. Les annonces au BODACC, les immatriculations au RNE et les actes déposés aux greffes relèvent de la publicité légale. Même après radiation d’une société, ces données restent consultables sur les registres officiels. Pappers, en tant que rediffuseur, peut les conserver tant que la source officielle les maintient.
Déréférencement Google et surveillance continue des bases
Le déréférencement permet de détacher une page des résultats de recherche associés à un nom, sans supprimer la page elle-même. La demande se fait via le formulaire de droit à l’oubli de Google. Le moteur évalue ensuite si l’intérêt du public à accéder à l’information prime sur le droit à la vie privée du demandeur.
L’issue de la demande dépend du profil du demandeur et de la nature de l’information. Google met en balance le droit à la vie privée et l’intérêt du public au cas par cas.
Pourquoi la surveillance reste nécessaire après chaque démarche
Les bases de données publiques se réalimentent à chaque formalité : modification statutaire, changement d’adresse, dépôt de comptes. La non-diffusion doit être confirmée à chaque formalité impliquant une nouvelle déclaration. La vérification périodique sur Sirene et sur les principaux rediffuseurs reste la seule façon de maintenir la confidentialité dans la durée.
La protection de la vie privée face aux agrégateurs de données d’entreprise n’est pas un acte unique. C’est un processus en plusieurs étapes (non-diffusion, nettoyage des copies, déréférencement, surveillance) où chaque maillon dépend du précédent. Négliger les copies résiduelles après la non-diffusion Sirene revient à fermer la porte en laissant les fenêtres ouvertes.
