L'exercice du droit à l'oubli

– Une demande d'effacement… – La mise en œuvre par une personne concernée de son droit à l'effacement suppose tout d'abord une demande, présentée à un responsable de traitement. L'objet d'une telle demande ne suppose pas de commentaires : il s'agit du retrait pur et simple des données du traitement dans lequel elles avaient été enregistrées.

Contrairement à la limitation ou l'opposition à traitement, il n'y a ici aucun repentir, aucune reprise possible de traitement ; les données ont disparu, ne sont plus récupérables, et ne peuvent donc plus être traitées ou portées, sans une nouvelle collecte préalable.

Après l'effacement qu'il réalise lui-même, le responsable de traitement qui avait rendu publiques PE et Cons. UE, règl. (UE) n^o 2016/679, 27 avr. 2016, art. 17, 2. ou qui avait communiqué PE et Cons. UE, règl. (UE) n^o 2016/679, 27 avr. 2016, art. 19. les données qu'il efface – sur demande de la personne concernée, sur injonction de la Cnil ou décision judiciaire – doit informer les autres responsables de traitement qui exploitent les mêmes données, de la demande de leur effacement ou de celui de tout lien qui y conduit.

– … devant être transmise, si possible. – Toutefois, cette obligation de transmission n'est que de moyen, et pourrait même être qualifiée de modérée ou allégée – par opposition aux obligations de moyen spécialement renforcées – tant, après en avoir énoncé l'obligation, le texte en limite le caractère contraignant, en ne prévoyant que des mesures raisonnables, « compte tenu des technologies disponibles et des coûts de mise en œuvre » ou « à moins qu'une telle communication se révèle impossible ou exige des efforts disproportionnés ».

Ces limites sont regrettables, car toutes les appréciations subjectives sont ici a priori possibles. Un responsable de traitement pourra toujours, de prime abord, justifier de son impossibilité de diffuser la demande d'effacement aux responsables de traitements avec qui il a partagé des données.

Pourtant, comment admettre que des contraintes techniques ou financières pourraient empêcher de revenir sur une transmission de données que ces mêmes limites n'avaient pas entravée ?

Il faut espérer que les autorités de contrôle et juridictions n'admettront ces limites qu'avec cette appréciation en tête, et attendre que la pratique de la Cnil et les jurisprudences du Conseil d'État et de la Cour de justice de l'Union européenne élaborent une grille d'appréciation, elle-même forcément proportionnée à la sensibilité des données personnelles en cause.

Il aurait été plus équitable de ne permettre la transmission de données entre responsables de traitement ou sous-traitants qu'à condition d'en assurer la réversibilité.

– Une procédure semblable. – Comme pour l'exercice de chacun des droits des personnes concernées ici évoqués V. infra, n^o . , la demande d'effacement est possible par tous les moyens : formulaires sur les sites internet, courrier postal, demande téléphonique ou sur place ; avec les mêmes réserves.

Tout autant pour l'effacement que pour l'opposition, la personne concernée doit présenter une demande précise, désignant avec exactitude les données dont elle demande l'effacement (telle photo, telle vidéo, telle page, telle information, etc.).

À la différence du droit d'opposition, la demande d'effacement n'a pas à être motivée. Dans son périmètre, sa satisfaction est de droit.

Comme dans l'hypothèse des autres demandes, le responsable de traitement doit faire droit à la demande d'effacement (ou notifier et motiver un refus) dans les meilleurs délais, et dans la limite de principe d'un mois, ou doit dans ce délai notifier et motiver le besoin d'un délai supplémentaire, dans la limite de trois mois.

L'urgence du traitement de la demande d'effacement est même soulignée par l'inscription à deux reprises de l'expression « dans les meilleurs délais » dans l'unique phrase du premier alinéa de l'article 17 du RGPD qui l'institue PE et Cons. UE, règl. (UE) n^o 2016/679, 27 avr. 2016, art. 17, 1 : « La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais… ». .