L'opposition au traitement des données personnelles

Lors de la collecte de données, un responsable de traitement doit notamment informer la personne concernée de la durée, déterminée ou déterminable, de leur traitement PE et Cons. UE, règl. (UE) n^o 2016/679, 27 avr. 2016, art. 13, 2, a). . La même information doit être à nouveau délivrée lors de la transmission de données déjà collectées à des tiers (partenaires commerciaux, etc.). L'opposition vise à interrompre ces traitements, de manière anticipée au regard de la durée qui était initialement prévue.

– De quoi s'agit-il ? – Il s'agit de l'interruption définitive du traitement – à la différence de la limitation, qui ne réalise qu'un gel temporaire.

Il n'est jamais question de la suppression des données elles-mêmes, mais simplement de l'arrêt de leur usage. Toutefois, il est vraisemblable que l'opposition au traitement de données aboutisse à cette suppression de données, dont le traitement avait un terme, conduisant finalement à leur effacement.

Le traitement des données pourrait toutefois se poursuivre, à condition d'anonymisation, laquelle prive la personne concernée de tous ses droits sur les données dont elle est l'origine, mais qui alors ne la concernent plus.

– Champ d'application. – Aujourd'hui le droit d'opposition est prévu par l'article 21 du RGPD, auquel renvoie l'article 56 de la loi informatique et libertés.

Par renvoi à l'article 6, 1, e) et f), l'article 21 du RGPD définit précisément le champ d'application du droit d'opposition aux seuls traitements dont la licéité est justifiée par une mission d'intérêt ou d'autorité publics ou par des intérêts légitimes du responsable de traitement.

Sous une présentation restrictive, le champ d'application du droit d'opposition est néanmoins assez large, n'excluant que les traitements fondés sur le consentement de la personne concernée, dont le retrait est alors suffisant pour les faire cesser, sur l'exécution d'un contrat auquel elle est partie, qu'il lui suffit alors d'interrompre.

Selon les circonstances, et sauf les exceptions développées plus loin, une personne concernée pourra donc facilement trouver un moyen de faire cesser le traitement de ses données personnelles, en s'abstenant elle-même de consentir ou participer à un traitement, ou en s'opposant à celui-ci.

– Une motivation nécessaire. – S'agissant de l'interruption d'un traitement qui était parfaitement licite, l'article 21.1 du RGPD prévoit expressément que la personne concernée doit justifier son opposition par des raisons tenant à sa situation particulière. Cela induit que ce droit n'est pas simplement discrétionnaire – comme peut l'être le simple retrait du consentement au traitement. Il doit au contraire être motivé, et l'être non par des motifs généraux qui auraient pu être énoncés par le règlement, utilisables par option, mais pour un motif spécial, tenant à la situation spécifique d'une personne en particulier, pouvant justifier une prééminence de ses intérêts sur la mission d'intérêt ou d'autorité publics ou les intérêts légitimes de la mission du responsable de traitement.

Cette exigence fait donc implicitement de l'exercice de ce droit une situation exceptionnelle. Par exemple, une contestation de principe de réfractaires à tout enregistrement informatique de données personnelles ne pourrait fonder une opposition à traitement.

À l'inverse, l'article 21.2 du RGPD prévoit que l'opposition au traitement de données personnelles utilisées à des fins de prospection commerciale est de droit et alors discrétionnaire, c'est-à-dire qu'elle peut être mise en œuvre à tout moment et sans motivation.

En plus de la motivation de la demande, il conviendra que l'opposition soit clairement formulée, un responsable de traitement pouvant ne pas y donner suite notamment s'il la juge imprécise, par exemple sur les données exactes objet de l'opposition.

– Des exceptions. – Même lorsque la personne concernée justifie de raisons tenant à sa situation particulière, le droit d'opposition n'est pas ouvert lorsque le traitement :

Pour limiter les conséquences de ces dérogations, l'article 89 du RGPD prévoit des précautions au traitement de ces données : minimisation, pseudonymisation, etc.

Au-delà des exceptions particulières à chaque droit, et ici au droit d'opposition, les États membres concilient, par la loi, le droit à la protection des données avec le droit à la liberté d'expression et d'information, en prévoyant des exceptions ou dérogations, notamment aux droits des personnes concernées PE et Cons. UE, règl. (UE) n^o 2016/679, 27 avr. 2016, consid. 73, 153, art. 85. .