La « limitation » du traitement des données personnelles

– De quoi s'agit-il ? – Ce droit a été institué par l'article 18 du RGPD, en remplacement des dispositions françaises qui l'ont inspiré, auquel désormais renvoie purement et simplement l'article 53 de la loi informatique et libertés L. n^o 78-17, 6 janv. 1978, relative à l'informatique, aux fichiers et aux libertés, art. 53 dans sa rédaction issue de l'ordonnance n^o 2018-1125 du 12 décembre 2018 : « Le droit à la limitation du traitement s'exerce dans les conditions prévues à l'article 18 du règlement (UE) 2016/679 du 27 avril 2016 ». .

La limitation du traitement est définie à l'article 4, 3) du RGPD comme « le marquage de données à caractère personnel conservées, en vue de limiter leur traitement futur ».

Toute personne concernée par des données personnelles traitées peut en suspendre l'usage par le responsable de traitement, que celui-ci entende les exploiter ou au contraire les supprimer. L'exercice de ce droit gèle donc toute action du responsable de traitement, qui ne peut plus alors ni les utiliser, ni les modifier, ni même les effacer.

La limitation du traitement de données personnelles est ainsi de nature conservatoire et accessoire. Elle peut être utilisée par exemple en cas de conflit avec un responsable de traitement dans l'exercice d'un autre droit de la personne concernée, tel son droit de rectification ou d'opposition.

À l'inverse, elle peut être utilisée pour conserver des données avant un traitement qui pourrait les effacer, et par là même conserver une preuve ou un droit.

– Champ d'application. – L'article 18 du RGPD, qui institue ce droit, prévoit des cas assez précis dans lesquels la personne concernée peut faire valoir son droit à la limitation du traitement de ses données :

– Effets. – La limitation du traitement a pour effet d'interdire le traitement des données de la personne concernée ayant exercé ce droit, sauf :

Dans cette liste, il faut ici remarquer que la limitation réintroduit le consentement comme base de traitement. En effet, après la limitation qui gèle un traitement fondé sur une autre base, une reprise de traitement redevient possible avec le consentement de la personne concernée.

La limitation est temporaire, sans qu'une limite temporelle ne soit indiquée. La personne concernée doit simplement être informée de la levée de la limitation, avant qu'elle n'intervienne.

Seulement si elle en fait la demande, la personne concernée est renseignée sur les autres responsables de traitement auxquels ses données personnelles ont été communiquées.

Cette limitation du traitement des données est donc une mesure provisoire, à la différence de l'opposition au traitement, qui a un caractère définitif.

Comme pour l'exercice des autres droits évoqués plus loin, le responsable du traitement notifie à chaque sous-traitant, ou autre responsable de traitement auquel les données ont été transmises, la limitation dont elles font l'objet, sous la seule exception que cette information soit impossible ou exige des efforts disproportionnés PE et Cons. UE, règl. (UE) n^o 2016/679, 27 avr. 2016, art. 19. .