RGPD – Droit à l’oubli

Le droit à l’oubli découle de l’affaire Google Spain SL, Google Inc contre Agencia Española de Protección de Datos, Mario Costeja González (2014). Pour la première fois, le droit à l’oubli est codifié et se trouve dans le Règlement général sur la protection des données (RGPD) en plus du droit à l’effacement.

La règle portant le même nom réglemente principalement les obligations d’effacement. Selon celle-ci, les données personnelles doivent être effacées immédiatement lorsqu’elles ne sont plus nécessaires à leur objectif de traitement initial, ou si la personne concernée a retiré son consentement et qu’il n’existe aucun autre fondement juridique pour le traitement, la personne concernée s’est opposée et il n’existe pas de motifs légitimes impérieux pour le traitement, ou l’effacement est nécessaire pour satisfaire une obligation légale en vertu du droit de l’UE ou du droit des États membres. De plus, les données doivent naturellement être effacées si le traitement lui-même était contraire à la loi dès le départ.

Le responsable du traitement est donc d’une part automatiquement soumis à des obligations légales d’effacement, et doit, d’autre part, se conformer au droit à l’effacement de la personne concernée. La loi ne décrit pas comment les données doivent être effacées dans des cas individuels. L’élément décisif est qu’en conséquence, il n’est plus possible de discerner les données personnelles sans effort disproportionné. Il est suffisant si le support de données a été physiquement détruit ou si les données sont définitivement réécrites à l’aide d’un logiciel spécial.

De plus, le droit à l’oubli se trouve à l’art. 17(2) du RGPD. Si le responsable du traitement a rendu les données personnelles publiques, et si l’une des raisons d’effacement mentionnées existe, il doit prendre des mesures raisonnables, en tenant compte des circonstances, pour informer tous les autres responsables du traitement des données que tous les liens vers ces données personnelles, ainsi que les copies ou répliques des données personnelles, doivent être effacés.

Une demande d’effacement n’est soumise à aucune forme particulière, et le responsable du traitement ne peut exiger aucune forme spécifique. Cependant, l’identité de la personne concernée doit être prouvée de manière appropriée. Si l’identité n’est pas prouvée, le responsable du traitement peut demander des informations supplémentaires ou refuser d’effacer les données. En cas de demande ou d’obligation légale d’effacement, cela doit être exécuté rapidement. Cela signifie que le responsable du traitement doit vérifier les conditions d’effacement sans retard injustifié. En cas de demande d’effacement, la personne concernée doit être informée dans un délai d’un mois des mesures prises ou des raisons du refus. Le droit à l’oubli se reflète une seconde fois dans l’obligation de notification. En plus de l’effacement, selon l’art. 19 du RGPD, le responsable du traitement doit informer tous les destinataires des données de toute rectification ou effacement et doit utiliser tous les moyens disponibles et épuiser toutes les mesures appropriées.
Le droit à l’oubli n’est pas garanti sans réserve. Il est limité notamment lorsqu’il entre en collision avec le droit à la liberté d’expression et d’information. D’autres exceptions existent si le traitement des données, qui fait l’objet d’une demande d’effacement, est nécessaire pour se conformer à des obligations légales, pour des fins d’archivage dans l’intérêt public, pour des fins de recherche scientifique ou historique, ou pour des fins statistiques, ou pour la défense de réclamations légales.