19 Mai 2021 – Rapport du 117e congrès – Commission 1 – Chapitre I – Les différentes restrictions au traitement des données personnelles
PARTIE III – La mort dans le monde numérique
Titre 1 – La disparition numérique de son vivant
Sous-titre 1 – Les restrictions au traitement des données numériques des vivants
Chapitre I – Les différentes restrictions au traitement des données personnelles
1402 – Le retrait du consentement. – Dans les cas (désormais marginaux) de licéité fondée sur le consentement de la personne concernée, la restriction au traitement des données personnelles passe simplement par le retrait du consentement donné. La possibilité de retrait de consentement doit faire l’objet d’une information préalable à son recueil. Il est possible à tout moment et ne remet pas en cause le traitement passé. Le retrait du consentement de la personne concernée doit être aussi simple que son octroi631.
Cette exigence devrait conduire à un parallélisme de forme. Cependant on voit mal comment respecter à la lettre ce parallélisme sans prévoir une fenêtre informatique de retrait de consentement aussi spontanée que la fenêtre de recueil, mais alors avec la redondance en plus, ce qui serait insupportable. La facilité se limitera donc à un lien internet aisément accessible depuis toute page web.
Au-delà de ce retrait de consentement, par ordre chronologique ou d’intensité, les restrictions qu’une personne concernée peut apporter au traitement de ses données résultent d’un droit à la limitation du traitement (Section I) et d’un droit d’opposition à ce traitement (Section II).
Une autre restriction existe au traitement de données personnelles : le droit au déréférencement. Cependant celui-ci, bien que créé par la jurisprudence par application particulière (aux moteurs de recherche) du droit d’opposition, aboutissant à l’effacement de résultats de recherche, il sera étudié avec ce dernier632.
Section I – La « limitation » du traitement des données personnelles
1403 – De quoi s’agit-il ? – Ce droit a été institué par l’article 18 du RGPD, en remplacement des dispositions françaises qui l’ont inspiré, auquel désormais renvoie purement et simplement l’article 53 de la loi informatique et libertés633.
La limitation du traitement est définie à l’article 4, 3) du RGPD comme « le marquage de données à caractère personnel conservées, en vue de limiter leur traitement futur ».
Toute personne concernée par des données personnelles traitées peut en suspendre l’usage par le responsable de traitement, que celui-ci entende les exploiter ou au contraire les supprimer. L’exercice de ce droit gèle donc toute action du responsable de traitement, qui ne peut plus alors ni les utiliser, ni les modifier, ni même les effacer.
La limitation du traitement de données personnelles est ainsi de nature conservatoire et accessoire. Elle peut être utilisée par exemple en cas de conflit avec un responsable de traitement dans l’exercice d’un autre droit de la personne concernée, tel son droit de rectification ou d’opposition.
À l’inverse, elle peut être utilisée pour conserver des données avant un traitement qui pourrait les effacer, et par là même conserver une preuve ou un droit.
1404 – Champ d’application. – L’article 18 du RGPD, qui institue ce droit, prévoit des cas assez précis dans lesquels la personne concernée peut faire valoir son droit à la limitation du traitement de ses données :
pendant la durée nécessaire au responsable d’un traitement pour la vérification de l’exactitude des données qu’une personne concernée conteste ;
lorsqu’une personne s’oppose à l’effacement d’un contenu illicite ;
pour empêcher la disparition de données nécessaires à l’exercice ou la défense d’un droit ;
pendant la vérification de la motivation du rejet d’une opposition à traitement de données personnelles par un responsable de traitement.
1405 – Effets. – La limitation du traitement a pour effet d’interdire le traitement des données de la personne concernée ayant exercé ce droit, sauf :
pour ce qui est nécessaire à leur conservation ;
pour les actions qui recueillent le consentement de la personne concernée ;
pour la constatation, l’exercice ou la défense de droits en justice ;
pour la protection des droits d’une autre personne physique ou morale ;
ou pour des motifs importants d’intérêt public de l’Union ou d’un État membre.
Dans cette liste, il faut ici remarquer que la limitation réintroduit le consentement comme base de traitement. En effet, après la limitation qui gèle un traitement fondé sur une autre base, une reprise de traitement redevient possible avec le consentement de la personne concernée.
La limitation est temporaire, sans qu’une limite temporelle ne soit indiquée. La personne concernée doit simplement être informée de la levée de la limitation, avant qu’elle n’intervienne.
Comme pour l’exercice des autres droits évoqués plus loin, le responsable du traitement notifie à chaque sous-traitant, ou autre responsable de traitement auquel les données ont été transmises, la limitation dont elles font l’objet, sous la seule exception que cette information soit impossible ou exige des efforts disproportionnés634.
Seulement si elle en fait la demande, la personne concernée est renseignée sur les autres responsables de traitement auxquels ses données personnelles ont été communiquées.
Cette limitation du traitement des données est donc une mesure provisoire, à la différence de l’opposition au traitement, qui a un caractère définitif.
Section II – L’opposition au traitement des données personnelles
1406 Lors de la collecte de données, un responsable de traitement doit notamment informer la personne concernée de la durée, déterminée ou déterminable, de leur traitement635. La même information doit être à nouveau délivrée lors de la transmission de données déjà collectées à des tiers (partenaires commerciaux, etc.). L’opposition vise à interrompre ces traitements, de manière anticipée au regard de la durée qui était initialement prévue.
1407 – De quoi s’agit-il ? – Il s’agit de l’interruption définitive du traitement – à la différence de la limitation, qui ne réalise qu’un gel temporaire.
Il n’est jamais question de la suppression des données elles-mêmes, mais simplement de l’arrêt de leur usage. Toutefois, il est vraisemblable que l’opposition au traitement de données aboutisse à cette suppression de données, dont le traitement avait un terme, conduisant finalement à leur effacement.
Le traitement des données pourrait toutefois se poursuivre, à condition d’anonymisation, laquelle prive la personne concernée de tous ses droits sur les données dont elle est l’origine, mais qui alors ne la concernent plus.
1408 – Champ d’application. – Aujourd’hui le droit d’opposition est prévu par l’article 21 du RGPD, auquel renvoie l’article 56 de la loi informatique et libertés.
Par renvoi à l’article 6, 1, e) et f), l’article 21 du RGPD définit précisément le champ d’application du droit d’opposition aux seuls traitements dont la licéité est justifiée par une mission d’intérêt ou d’autorité publics ou par des intérêts légitimes du responsable de traitement.
Sous une présentation restrictive, le champ d’application du droit d’opposition est néanmoins assez large, n’excluant que les traitements fondés sur le consentement de la personne concernée, dont le retrait est alors suffisant pour les faire cesser, sur l’exécution d’un contrat auquel elle est partie, qu’il lui suffit alors d’interrompre.
Selon les circonstances, et sauf les exceptions développées plus loin, une personne concernée pourra donc facilement trouver un moyen de faire cesser le traitement de ses données personnelles, en s’abstenant elle-même de consentir ou participer à un traitement, ou en s’opposant à celui-ci.
1409 – Une motivation nécessaire. – S’agissant de l’interruption d’un traitement qui était parfaitement licite, l’article 21.1 du RGPD prévoit expressément que la personne concernée doit justifier son opposition par des raisons tenant à sa situation particulière. Cela induit que ce droit n’est pas simplement discrétionnaire – comme peut l’être le simple retrait du consentement au traitement. Il doit au contraire être motivé, et l’être non par des motifs généraux qui auraient pu être énoncés par le règlement, utilisables par option, mais pour un motif spécial, tenant à la situation spécifique d’une personne en particulier, pouvant justifier une prééminence de ses intérêts sur la mission d’intérêt ou d’autorité publics ou les intérêts légitimes de la mission du responsable de traitement.
Cette exigence fait donc implicitement de l’exercice de ce droit une situation exceptionnelle. Par exemple, une contestation de principe de réfractaires à tout enregistrement informatique de données personnelles ne pourrait fonder une opposition à traitement.
À l’inverse, l’article 21.2 du RGPD prévoit que l’opposition au traitement de données personnelles utilisées à des fins de prospection commerciale est de droit et alors discrétionnaire, c’est-à-dire qu’elle peut être mise en œuvre à tout moment et sans motivation.
En plus de la motivation de la demande, il conviendra que l’opposition soit clairement formulée, un responsable de traitement pouvant ne pas y donner suite notamment s’il la juge imprécise, par exemple sur les données exactes objet de l’opposition.
1410 – Des exceptions. – Même lorsque la personne concernée justifie de raisons tenant à sa situation particulière, le droit d’opposition n’est pas ouvert lorsque le traitement :
répond à une obligation légale ;
est nécessaire à la sauvegarde d’intérêts vitaux de la personne concernée ou d’une autre personne physique636 ;
répond à des motifs légitimes et impérieux prévalant sur les intérêts, droits et libertés de la personne concernée ;
est utile à la constatation, l’exercice ou la défense de droit en justice637 ;
est nécessaire à l’exécution d’une mission d’intérêt public de recherche scientifique, historique ou statistique638 ;
a été écarté par une disposition expresse de l’acte instaurant le traitement, dans les conditions prévues à l’article 23 du RGPD (sécurité, défense, infractions diverses, etc.)639.
Au-delà des exceptions particulières à chaque droit, et ici au droit d’opposition, les États membres concilient, par la loi, le droit à la protection des données avec le droit à la liberté d’expression et d’information, en prévoyant des exceptions ou dérogations, notamment aux droits des personnes concernées640.
Pour limiter les conséquences de ces dérogations, l’article 89 du RGPD prévoit des précautions au traitement de ces données : minimisation, pseudonymisation, etc.
631) PE et Cons. UE, règl. (UE) no 2016/679, 27 avr. 2016, art. 7, 3 et 17, 1, b) qui renvoie aux 6, 1, a) et 9, 2, a).
632) V. infra, nos 1437 et s., Le droit à l’effacement.
633) L. no 78-17, 6 janv. 1978, relative à l’informatique, aux fichiers et aux libertés, art. 53 dans sa rédaction issue de l’ordonnance no 2018-1125 du 12 décembre 2018 : « Le droit à la limitation du traitement s’exerce dans les conditions prévues à l’article 18 du règlement (UE) 2016/679 du 27 avril 2016 ».
634) PE et Cons. UE, règl. (UE) no 2016/679, 27 avr. 2016, art. 19.
635) PE et Cons. UE, règl. (UE) no 2016/679, 27 avr. 2016, art. 13, 2, a).
636) Ces trois premiers cas sont hors du périmètre défini par renvoi de PE et Cons. UE, règl. (UE) no 2016/679, 27 avr. 2016, art. 21 à l’article 6, § 1, pts e) et f).
637) PE et Cons. UE, règl. (UE) no 2016/679, 27 avr. 2016, art. 23 et L. no 78-17, 6 janv. 1978, art. 56, al. 2, sans respecter tout à fait les conditions de mise en œuvre prévues par l’article 23.
638) PE et Cons. UE, règl. (UE) no 2016/679, 27 avr. 2016, art. 21 et L. no 78-17, 6 janv. 1978, art. 78 et 79.
639) L. no 78-17, 6 janv. 1978, art. 56, al. 2.
640) PE et Cons. UE, règl. (UE) no 2016/679, 27 avr. 2016, consid. 73, 153, art. 85.