Le droit à l'oubli

Cette demande n'est ainsi possible que pour :

les données dont les raisons ayant conduit à les collecter ont disparu ;
les données dont le traitement était fondé sur le consentement exprimé par la personne concernée (et que sa demande d'effacement retire ainsi implicitement) ;
les données pour lesquelles la personne concernée a droit d'opposition (que le droit d'effacement recouvre donc) ;
les données traitées illicitement, ou dont l'effacement fait l'objet d'une obligation légale ;
les données collectées au sujet de mineurs.

Comme tout droit accordé aux personnes concernées sur leurs données, le droit à l'effacement est organisé dans sa mise en œuvre (Sous-section I) et limité dans ses effets (Sous-section II) .

– Un périmètre particulier. – L'article 17 du RGPD, limite les cas dans lesquels il est possible de formuler une demande d'effacement. Cette limitation peut paraître paradoxale s'agissant de l'exercice de droits de toute personne concernée ; droits présentés comme de principe dans de nombreux considérants du RGPD PE et Cons. UE, règl. (UE) n^o 2016/679, 27 avr. 2016, consid. 59, 66, 68, etc. .

L'exercice du droit à l'oubli

– Une demande d'effacement… – La mise en œuvre par une personne concernée de son droit à l'effacement suppose tout d'abord une demande, présentée à un responsable de traitement. L'objet d'une telle demande ne suppose pas de commentaires : il s'agit du retrait pur et simple des données du traitement dans lequel elles avaient été enregistrées.

Contrairement à la limitation ou l'opposition à traitement, il n'y a ici aucun repentir, aucune reprise possible de traitement ; les données ont disparu, ne sont plus récupérables, et ne peuvent donc plus être traitées ou portées, sans une nouvelle collecte préalable.

Après l'effacement qu'il réalise lui-même, le responsable de traitement qui avait rendu publiques PE et Cons. UE, règl. (UE) n^o 2016/679, 27 avr. 2016, art. 17, 2. ou qui avait communiqué PE et Cons. UE, règl. (UE) n^o 2016/679, 27 avr. 2016, art. 19. les données qu'il efface – sur demande de la personne concernée, sur injonction de la Cnil ou décision judiciaire – doit informer les autres responsables de traitement qui exploitent les mêmes données, de la demande de leur effacement ou de celui de tout lien qui y conduit.

– … devant être transmise, si possible. – Toutefois, cette obligation de transmission n'est que de moyen, et pourrait même être qualifiée de modérée ou allégée – par opposition aux obligations de moyen spécialement renforcées – tant, après en avoir énoncé l'obligation, le texte en limite le caractère contraignant, en ne prévoyant que des mesures raisonnables, « compte tenu des technologies disponibles et des coûts de mise en œuvre » ou « à moins qu'une telle communication se révèle impossible ou exige des efforts disproportionnés ».

Ces limites sont regrettables, car toutes les appréciations subjectives sont ici a priori possibles. Un responsable de traitement pourra toujours, de prime abord, justifier de son impossibilité de diffuser la demande d'effacement aux responsables de traitements avec qui il a partagé des données.

Pourtant, comment admettre que des contraintes techniques ou financières pourraient empêcher de revenir sur une transmission de données que ces mêmes limites n'avaient pas entravée ?

Il faut espérer que les autorités de contrôle et juridictions n'admettront ces limites qu'avec cette appréciation en tête, et attendre que la pratique de la Cnil et les jurisprudences du Conseil d'État et de la Cour de justice de l'Union européenne élaborent une grille d'appréciation, elle-même forcément proportionnée à la sensibilité des données personnelles en cause.

Il aurait été plus équitable de ne permettre la transmission de données entre responsables de traitement ou sous-traitants qu'à condition d'en assurer la réversibilité.

– Une procédure semblable. – Comme pour l'exercice de chacun des droits des personnes concernées ici évoqués V. infra, n^o . , la demande d'effacement est possible par tous les moyens : formulaires sur les sites internet, courrier postal, demande téléphonique ou sur place ; avec les mêmes réserves.

Tout autant pour l'effacement que pour l'opposition, la personne concernée doit présenter une demande précise, désignant avec exactitude les données dont elle demande l'effacement (telle photo, telle vidéo, telle page, telle information, etc.).

À la différence du droit d'opposition, la demande d'effacement n'a pas à être motivée. Dans son périmètre, sa satisfaction est de droit.

Comme dans l'hypothèse des autres demandes, le responsable de traitement doit faire droit à la demande d'effacement (ou notifier et motiver un refus) dans les meilleurs délais, et dans la limite de principe d'un mois, ou doit dans ce délai notifier et motiver le besoin d'un délai supplémentaire, dans la limite de trois mois.

L'urgence du traitement de la demande d'effacement est même soulignée par l'inscription à deux reprises de l'expression « dans les meilleurs délais » dans l'unique phrase du premier alinéa de l'article 17 du RGPD qui l'institue PE et Cons. UE, règl. (UE) n^o 2016/679, 27 avr. 2016, art. 17, 1 : « La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais… ». .

Les nombreuses limites du droit à l'oubli

– Des refus possibles ou nécessaires. – Le responsable de traitement peut refuser ou ne répondre que partiellement à une demande d'effacement, dans la seule mesure où il a la possibilité ou l'obligation d'opposer un motif légitime à cette demande d'effacement.

Par exemple, si une demande porte sur l'effacement d'un compte client, cette demande ne pourra s'étendre aux factures émises, puisque tout fournisseur a par ailleurs l'obligation de les conserver dix ans C. com., art. L. 123-22, al. 2 (dix ans) ; LPF, art. L. 102 B (six ans). .

Les limites prévues par le RGPD

à l'exercice du droit à la liberté d'expression et d'information ;
au respect d'une obligation légale ou pour exécuter une mission d'intérêt public ou relevant de l'exercice de l'autorité publique ;
à l'intérêt public dans les domaines de la santé publique (ou, à condition d'anonymisation, dans ceux de la recherche scientifique, historique, ou statistique) ;
à des fins archivistiques, scientifiques, historiques, statistiques, universitaires, artistiques ou littéraires ;
à la constatation, l'exercice ou la défense de droits en justice.

En plus des exceptions particulières au droit à l'effacement, il faut rappeler que l'article 85 du RGPD prévoit que les États membres concilient par la loi le droit à la protection des données avec celui lié à la liberté d'expression et d'information en prévoyant des exceptions ou dérogations, notamment aux droits des personnes concernées.

Au-delà de telles limites générales au droit à l'effacement, le RGPD prévoit des exceptions spécifiques PE et Cons. UE, règl. (UE) n^o 2016/679, 27 avr. 2016, art. 17, 3. , lorsque le traitement est nécessaire :

Les limites prévues par la loi informatique et libertés

les traitements mis en œuvre par les administrations publiques et les personnes privées chargées d'une mission de service public qui ont pour mission de contrôler et recouvrer des impositions ;
les traitements intéressant la sécurité publique ;
les traitements mis en œuvre par les juridictions financières, dans le cadre de leurs missions non juridictionnelles.

Une demande d'effacement par exercice du droit à l'oubli est donc susceptible d'échouer, en raison des conditions et périmètre de celui-ci. Ainsi est-il apparu nécessaire aux personnes concernées de limiter l'accès à ces pages internet qui demeuraient. C'est ce qui a conduit à la création prétorienne du droit au déréférencement.

Au-delà des limites prévues par le RGPD, la loi informatique et libertés L. n^o 78-17, 6 janv. 1978, art. 52. a ajouté (pour le droit d'accès, de rectification et d'effacement ; pas pour le droit à la limitation et à l'opposition) d'autres exceptions :