RGPD: Le droit à l’effacement ou le “droit à l’oubli”

Une donnée mise en ligne ne s’oublie pas d’elle-même — elle se duplique, se référence, se ravive. Contre cette mémoire numérique persistante, le Règlement général sur la protection des données (RGPD) consacre à son article 17 un droit à l’effacement, communément désigné « droit à l’oubli » : la faculté, pour toute personne concernée, d’obtenir du responsable du traitement la suppression, dans les meilleurs délais, des données à caractère personnel la concernant. Rattaché à la protection classique de la vie privée, ce droit en constitue le prolongement le plus offensif à l’ère du traitement automatisé.

La construction n’est pas née du seul législateur européen. La Cour de justice de l’Union européenne avait déjà dégagé un droit au déréférencement dans un arrêt notoire du 13 mai 2014 (CJUE, GC, 13 mai 2014, Google Spain SL et Google Inc.), reconnaissant à l’individu le droit d’exiger d’un exploitant de moteur de recherche la suppression, de la liste de résultats, des liens menant vers des informations le concernant. Le RGPD systématise cette logique en imposant au responsable du traitement une double obligation : effacer les données dont la suppression est demandée et, dans la mesure de ses moyens techniques et financiers, informer les autres responsables de la demande lorsque les données ont été rendues publiques.

Le droit à l’oubli n’est toutefois ni absolu ni inconditionnel. Le considérant 65 du RGPD en éclaire la finalité protectrice — singulièrement lorsque la personne avait consenti étant enfant, sans pleine conscience des risques, et souhaite par la suite faire disparaître ces données, en particulier sur internet ; la personne concernée doit pouvoir exercer ce droit nonobstant le fait qu’elle n’est plus un enfant. Le considérant 66 en étend la portée en imposant au responsable qui a rendu les données publiques d’informer les autres responsables qu’il convient d’effacer tout lien, copie ou reproduction. Reste à en mesurer le régime : principe, conditions, exercice, exécution et limites.

§1 : Le principe du droit à l’effacement

L’article 40 de la LIL dispose que « toute personne physique justifiant de son identité peut exiger du responsable d’un traitement que soient […] effacées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l’utilisation, la communication ou la conservation est interdite. »

Dans le même sens, l’article 17 du RGPD prévoit que « la personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais […] ».

Il ressort de ces deux textes que c’est un véritable droit à l’oubli qui a été consacré par le législateur. La formule de l’article 17 est doublement performative : elle énonce un droit au profit de la personne concernée et, en miroir, une obligation à la charge du responsable du traitement — la corrélation des deux interdisant de réduire l’effacement à une simple faveur laissée à la discrétion de ce dernier.

§2 : Les conditions du droit à l’effacement

Le législateur a entendu limiter l’exercice du droit à l’effacement à certains cas. À cet égard, il ne peut être exercé que lorsque l’un des motifs suivants s’applique :

• Les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière ;
• La personne concernée retire le consentement sur lequel est fondé le traitement et il n’existe pas d’autre fondement juridique au traitement ;
• La personne concernée s’oppose au traitement, et il n’existe pas de motif légitime impérieux pour le traitement ;
• Les données à caractère personnel ont fait l’objet d’un traitement illicite ;
• Les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l’Union ou par le droit de l’État membre auquel le responsable du traitement est soumis ;
• Les données à caractère personnel ont été collectées dans le cadre de l’offre de services de la société de l’information, soit lorsque la personne était mineure au moment de la collecte de ses données.

L’énumération est limitative : hors de ces hypothèses, le responsable du traitement peut légitimement refuser l’effacement. Le droit à l’oubli n’est donc pas un droit potestatif de retrait permanent — il suppose qu’un fondement précis le justifie, à charge pour le demandeur de se rattacher à l’un de ces motifs.

§3 : L’exercice du droit à l’effacement

• Le destinataire de la demande
  • La demande d’effacement doit être adressée au responsable du traitement qui est le débiteur de l’obligation ;
  • Il est donc inopérant de formuler cette demande auprès de la CNIL, dont la saisine n’intervient qu’au stade ultérieur de la réclamation.

• La justification de l’identité
  • Pour accéder à la demande de la personne concernée, le responsable du traitement sera fondé à exiger du demandeur qu’il justifie de son identité ;
  • Il ne devra pas, néanmoins, lui imposer des pièces justificatives qui seraient disproportionnées eu égard à la demande formulée — l’exigence probatoire ne pouvant se muer en obstacle dilatoire à l’exercice du droit.

§4 : L’exécution du droit à l’effacement

• Délai
  • À réception de la demande d’effacement, le responsable du traitement devra s’exécuter dans les meilleurs délais et, au plus tard, dans un délai d’un mois ;
  • Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes ;
  • En cas de prorogation du délai de réponse, le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d’un mois à compter de la réception de la demande ;
  • Dans l’hypothèse où le responsable du traitement ne donnerait pas suite à la demande formulée par la personne concernée, il informe celle-ci sans tarder et au plus tard dans un délai d’un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel ;
  • En cas de non-exécution de l’effacement des données à caractère personnel dans un délai d’un mois à compter de la demande, la personne concernée peut saisir la Commission nationale de l’informatique et des libertés, qui se prononce sur cette demande dans un délai de trois semaines à compter de la date de réception de la réclamation.

• Preuve
  • L’article 40, I de la LIL prévoit que lorsque l’intéressé en fait la demande, le responsable du traitement doit justifier, sans frais pour le demandeur, qu’il a procédé aux opérations exigées ;
  • En cas de contestation, la charge de la preuve incombe au responsable auprès duquel est exercé le droit d’accès, sauf lorsqu’il est établi que les données contestées ont été communiquées par l’intéressé ou avec son accord. Actori incumbit probatio connaît ici un renversement délibéré : c’est au débiteur de l’obligation, et non au demandeur, qu’il revient d’établir l’exécution.

• Cas particulier des données rendues publiques
  • L’article 17 du RGPD prévoit que lorsqu’il a rendu publiques les données à caractère personnel et qu’il est tenu de les effacer, le responsable du traitement, compte tenu des technologies disponibles et des coûts de mise en œuvre, prend des mesures raisonnables, y compris d’ordre technique, pour informer les responsables du traitement qui traitent ces données à caractère personnel que la personne concernée a demandé l’effacement par ces responsables de tout lien vers ces données, ou de toute copie ou reproduction de celles-ci ;
  • L’obligation est ici, non pas de résultat, mais de moyen : le responsable n’est pas garant de l’effacement effectif opéré par les tiers, mais seulement tenu d’une diligence proportionnée à ses capacités techniques et financières.

§5 : Les limites du droit à l’effacement

Le législateur européen a assorti le droit à l’effacement de plusieurs limites énoncées à l’article 17 du RGPD. Loin d’être marginales, ces exceptions traduisent l’arbitrage permanent entre la protection des données personnelles et d’autres intérêts d’égale dignité — au premier rang desquels la liberté d’expression et d’information.

Ainsi, le droit à l’oubli ne s’applique pas :

• À l’exercice du droit à la liberté d’expression et d’information ;
• Pour respecter une obligation légale qui requiert le traitement, prévue par le droit de l’Union ou par le droit de l’État membre auquel le responsable du traitement est soumis, ou pour exécuter une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ;
• Pour des motifs d’intérêt public dans le domaine de la santé publique ;
• À des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l’article 89, paragraphe 1, dans la mesure où le droit à l’effacement est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement ;
• À la constatation, à l’exercice ou à la défense de droits en justice.

Ces réserves dessinent les contours d’un droit relatif : l’oubli numérique n’efface pas la mémoire collective lorsque celle-ci sert l’information du public, la recherche, la santé publique ou la justice. Le responsable du traitement — et, en cas de litige, le juge — doit alors procéder à une mise en balance concrète des intérêts en présence, à l’aune des finalités du traitement et de la sensibilité des données concernées.