Obtenir des informations sur un partenaire, un client ou un salarié en le « googlant » est aujourd’hui un automatisme pour bon nombre d’entre nous.
Entre réseaux sociaux, articles de presses et publications en tout genre, il ne peut être nié ni l’existence, ni la diversité des bases de données accessibles à tous et en tout temps.
Bien que fort utile, cette mise à disposition « libre-service » d’informations personnelles, nous emmène à nous questionner sur la survie véritable du droit à la vie privée dans le domaine du numérique.
Au cœur de cette discussion, le Règlement général sur la protection des données (dit « RGPD ») est venu, depuis 2018, accorder aux citoyens européens des droits distincts leur permettant de disposer pleinement de leurs données personnelles. Parmi ceux-ci, le fameux droit à l’effacement ou « droit à l’oubli » dont il convient d’expliquer la portée et les modalités d’exercice ci-dessous.
Qu’est-ce que le droit à l’oubli ?
Quand on parle de « droit à l’oubli », il est en réalité question du droit à l’effacement énoncé à l’article 17 du RGPD. Celui-ci octroie à tout citoyen résidant d’un pays membre de l’Union européenne, le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, des données à caractère personnel le concernant. Le droit à l’oubli sert donc à prévenir l’utilisation illicite des données personnelles d’un individu, que celles-ci aient été fournies auparavant volontairement par ce dernier ou à son insu.
Outre la possibilité de réclamer l’effacement de ses données personnelles, le droit à l’oubli enveloppe également le droit au déférencement. Dans ce dernier cas, il est spécifiquement ordonné à un moteur de recherche de supprimer, dès lors qu’il n’existe aucune raison légitime de les conserver, les résultats de recherches associés aux données personnelles d’un individu (ex : votre nom et prénom).
Le droit à l’oubli pour qui et pour quoi ?
- Le droit à l’oubli n’accorde de prérogatives qu’aux « personnes concernées », entendu comme étant toute personne physique dont les données à caractère personnel sont recueillies.
En ce sens, une personne morale (une association, une SAS, une SARL, etc.) ne saurait se prémunir de ce droit pour effacer des données à son sujet (ex : le nom d’une association cité dans un article lui faisant mauvaise publicité). - Le droit à l’oubli s’exerce à l’égard des données « à caractère personnel ». Au sens du RGPD, une donnée personnelle se rapporte à une personne physique identifiée ou identifiable directement (ex : par son nom ou prénom) ou indirectement (par sa photo, sa voix, son numéro de téléphone, son adresse courriel, etc.).
Outre ces exigences préliminaires, l’article 17 du RGPD vient cantonner expressément les circonstances d’exercice du droit à l’oubli aux situations suivantes :
| 1. Les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière ; |
| 2. La personne concernée retire le consentement sur lequel est fondé le traitement et il n’existe pas d’autre fondement juridique au traitement ; |
| 3. La personne concernée s’oppose au traitement et il n’existe aucun motif légitime impérieux susceptible de justifier ce traitement ; |
| 4. Les données à caractère personnel ont fait l’objet d’un traitement illicite (entendu comme non autorisé par le RGPD) ; |
| 5. Les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l’Union ou par le droit de l’État membre auquel le responsable du traitement est soumis ; |
| 6. les données à caractère personnel ont été collectées dans le cadre d’un service proposé à un mineur. |
Dès lors, il importe d’observer que le droit à l’oubli ne constitue aucunement un droit absolu.
Et pour cause, le responsable de traitement peut se réserver le droit de conserver les données personnelles d’un individu (nonobstant l’exercice du droit à l’oubli), dès lors que l’utilisation qui en est faite est justifiée et nécessaire :
Tenant, une balance doit toujours être effectuée entre le droit à la vie privée d’un individu et le droit à l’information générale du public ; l’arbitrage de ces deux droits étant intrinsèquement lié à la nature des données personnelles visées par le traitement.
Le droit à l’oubli : quelle mise en œuvre ?
Comme mentionné, le droit à l’oubli requiert des responsables de traitement de mettre en place un système permettant de répondre, dans les plus brefs délais, à une demande d’effacement des données personnelles.
À titre d’exemple, peuvent être citées les situations d’application suivantes : fermeture d’un compte-utilisateur à une plateforme donnée, opposition à un article de presse contrevenant aux dispositions du RGPD, utilisation frauduleuse de données personnelles par un réseau social.
Pour exercer son droit à l’oubli, la personne concernée devra formuler une demande auprès du responsable de traitement de ses données personnelles. Une telle requête devra nécessairement faire état des données visées et des faits justifiant l’effacement ou le déférencement de celles-ci.
En cas de refus ou d’inaction du responsable de traitement, la personne concernée pourra saisir la CNIL afin que celle-ci mène une enquête (laquelle peut donner lieu à des mesures telles que des rappels à l’ordre, mises en demeure, voire des sanctions financières).
Le droit à l’effacement également nommé « droit à l’oubli » constituant l’un des plus grands axes du RGPD, le cabinet LEGALPROTECH-AVOCATS saura en tout état de cause mettre son expertise à votre disposition afin de vous accompagner dans l’exercice de vos droits ; tant à l’égard d’une procédure à l’amiable que dans le cadre d’un contentieux.
Daniella TSHEFU – Avocat au Barreau du Québec, Juriste RGPD