Parmi les prérogatives reconnues à la personne concernée par le Règlement général sur la protection des données, le droit à la limitation du traitement — consacré par l’article 18 du RGPD — occupe une place singulière. Il ne s’agit ni d’effacer les données, ni de s’opposer purement et simplement à leur traitement, mais de les geler : la personne concernée obtient du responsable du traitement qu’il suspende toute opération sur ses données, tout en les conservant intactes. C’est, en quelque sorte, une mesure conservatoire — un statu quo le temps qu’une difficulté soit tranchée.
L’enjeu est concret. Lorsqu’une personne conteste l’exactitude d’une donnée, qu’elle dénonce l’illicéité d’un traitement, ou qu’elle s’oppose à celui-ci, il existe un intervalle pendant lequel le sort des données demeure incertain. Pendant ce laps de temps, ni l’effacement (qui ferait disparaître une preuve potentiellement utile) ni la poursuite du traitement (qui prolongerait une atteinte éventuelle) ne sont satisfaisants. La limitation offre une voie médiane : medio tutissimus ibis. Les données sont marquées, immobilisées, soustraites à toute exploitation, sans être détruites.
Le présent article expose la notion de limitation, les quatre situations qui en ouvrent le bénéfice, le principe de gel qui en découle, puis les exceptions qui autorisent malgré tout le responsable à traiter les données immobilisées.
I) La notion de limitation du traitement
Le droit à la limitation du traitement consiste à conférer à la personne concernée la faculté de suspendre le traitement dont elle fait l’objet tout en conservant les données traitées.
La limitation du traitement s’entend, selon l’article 4, §3 du RGPD, comme « le marquage de données à caractère personnel conservées, en vue de limiter leur traitement futur ». Il ne s’agit donc ni d’une suppression, ni d’une opposition définitive, mais d’un gel : les données subsistent, mais sont rendues juridiquement et techniquement indisponibles à toute exploitation ultérieure.
Il s’agit, autrement dit, d’enjoindre au responsable du traitement d’adopter des mesures conservatoires en vue de procéder à certaines vérifications. La logique est probatoire et précautionneuse : on immobilise pour vérifier, on conserve pour préserver les droits de chacun.
II) Le champ d'application : quatre situations d'ouverture
En application de l’article 18, §1 du RGPD, la personne concernée a le droit d’obtenir du responsable du traitement la limitation du traitement dans les situations suivantes :
- l’exactitude des données à caractère personnel est contestée par la personne concernée, pendant une durée permettant au responsable du traitement de vérifier l’exactitude des données à caractère personnel ;
- le traitement est illicite et la personne concernée s’oppose à leur effacement et exige à la place la limitation de leur utilisation ;
- le responsable du traitement n’a plus besoin des données à caractère personnel aux fins du traitement mais celles-ci sont encore nécessaires à la personne concernée pour la constatation, l’exercice ou la défense de droits en justice ;
- la personne concernée s’est opposée au traitement en vertu de l’article 21, §1, pendant la vérification portant sur le point de savoir si les motifs légitimes poursuivis par le responsable du traitement prévalent sur ceux de la personne concernée.
Ces quatre hypothèses partagent une même structure : elles correspondent toutes à une période d’incertitude. Soit l’on attend une vérification (exactitude contestée, opposition en cours d’arbitrage), soit l’on préserve une donnée dont la conservation sert un intérêt légitime alors même que sa finalité initiale s’est éteinte (besoin probatoire en justice, refus d’effacement face à un traitement illicite). La limitation est ainsi le pendant temporel des autres droits : elle gère le temps de la contestation.
Un client constate que sa banque a enregistré un incident de paiement qu’il estime erroné et conteste cette inscription. Tant que l’établissement vérifie l’exactitude de la donnée, le client peut exiger la limitation du traitement : l’incident litigieux est marqué comme gelé et ne peut plus être communiqué, par exemple, à un organisme de scoring ou servir à refuser un crédit, jusqu’à ce que la vérification aboutisse. La donnée n’est ni effacée — ce qui priverait chacun de preuve — ni exploitée — ce qui pérenniserait l’atteinte.
III) Le principe : conserver sans traiter
L’article 18, §2 du RGPD prévoit que, lorsque le traitement a été limité, les données à caractère personnel doivent être conservées par le responsable du traitement, sans qu’il puisse les traiter.
Le considérant 67 précise que les méthodes visant à limiter le traitement de données à caractère personnel peuvent consister, entre autres, à déplacer temporairement les données sélectionnées vers un autre système de traitement, à rendre les données à caractère personnel sélectionnées inaccessibles aux utilisateurs, ou à retirer temporairement les données publiées d’un site internet.
Dans les fichiers automatisés, la limitation du traitement doit en principe être assurée par des moyens techniques de façon à ce que les données à caractère personnel ne fassent pas l’objet d’opérations de traitement ultérieures et ne puissent pas être modifiées.
Le fait que le traitement des données à caractère personnel est limité doit être indiqué de manière claire dans le fichier. Cette exigence de traçabilité — le marquage visible du gel — est consubstantielle à la notion même de limitation : sans marque apparente, la mesure conservatoire demeurerait théorique et l’on ne pourrait vérifier qu’elle a été respectée.
IV) Les limites : les cas de traitement autorisé
L’article 18, §2 du RGPD autorise le responsable du traitement à traiter les données qui font l’objet d’une limitation dans quatre cas :
- la personne concernée a donné son consentement ;
- les données sont traitées pour la constatation, l’exercice ou la défense de droits en justice ;
- les données sont traitées pour la protection des droits d’une autre personne physique ou morale ;
- les données sont traitées pour des motifs importants d’intérêt public de l’Union ou d’un État membre.
Ces dérogations révèlent que le gel n’est jamais absolu. Le législateur européen a aménagé un équilibre : la limitation protège la personne concernée pendant l’incertitude, mais elle ne saurait faire obstacle à des intérêts supérieurs — l’exercice de la justice, les droits des tiers, l’intérêt public — ni neutraliser la volonté de l’intéressé lui-même lorsqu’il consent au traitement. La levée du gel suppose, du reste, que la personne concernée en soit informée préalablement, conformément à l’article 18, §3 du RGPD.
