Droit à l'Effacement RGPD

conformite

Définition

Le droit à l'effacement, consacré à l'article 17 du RGPD et communément appelé « droit à l'oubli », permet à toute personne concernée d'obtenir du responsable de traitement l'effacement de ses données à caractère personnel dans les meilleurs délais, sous certaines conditions. Ce droit constitue l'une des innovations majeures du RGPD par rapport aux législations antérieures. Le droit à l'effacement peut être exercé dans six situations : lorsque les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ; lorsque la personne retire son consentement et qu'il n'existe pas d'autre base légale ; lorsque la personne s'oppose au traitement et qu'il n'existe pas de motifs légitimes impérieux ; lorsque les données ont fait l'objet d'un traitement illicite ; lorsque l'effacement est nécessaire pour respecter une obligation légale ; ou lorsque les données ont été collectées auprès d'un enfant dans le cadre de services de la société de l'information. Ce droit est toutefois limité par plusieurs exceptions importantes. L'effacement ne peut pas être exigé lorsque le traitement est nécessaire à l'exercice de la liberté d'expression et d'information, au respect d'une obligation légale, à l'exécution d'une mission d'intérêt public, à des fins archivistiques ou de recherche, ou à la constatation et à la défense de droits en justice. Lorsque le responsable de traitement a rendu les données publiques (par exemple en les publiant sur internet), il doit prendre des mesures raisonnables, y compris d'ordre technique, pour informer les autres responsables de traitement qui traitent ces données que la personne a demandé leur effacement et tout lien vers celles-ci, ainsi que toute copie ou reproduction. Le délai de réponse est d'un mois (prorogeable à trois mois). En cas de refus, le responsable doit en informer le demandeur et indiquer les voies de recours disponibles, notamment la saisine de la CNIL.

Conditions d'exercice du droit à l'effacement

L'article 17 §1 du RGPD prévoit six cas dans lesquels le droit à l'effacement peut être exercé : données devenues inutiles, retrait du consentement, opposition au traitement sans motif légitime impérieux, traitement illicite, obligation légale d'effacement, ou collecte auprès d'un enfant dans le cadre de services en ligne. La personne doit indiquer le motif de sa demande pour permettre au responsable d'évaluer si la situation est couverte.

Concrètement, l'effacement doit être effectif dans tous les systèmes où les données sont stockées : bases de données principales, sauvegardes, archives, journaux, systèmes tiers. La question des sauvegardes est délicate : l'effacement immédiat est techniquement difficile dans les bandes de sauvegarde, mais le responsable doit s'assurer que les données effacées ne sont pas restaurées lors d'une prochaine restauration de sauvegarde.

Exceptions au droit à l'effacement

L'article 17 §3 prévoit des exceptions importantes : liberté d'expression et d'information (limitation du droit à l'oubli pour les informations d'intérêt public), obligation légale de conservation (comptabilité, contrats, données de santé), intérêt public dans le domaine de la santé, recherche scientifique, et défense en justice. Ces exceptions doivent être interprétées strictement et documentées.

La tension entre le droit à l'effacement et la liberté de la presse a donné lieu à une jurisprudence abondante. Le droit à l'oubli sur les moteurs de recherche (affaire Google Spain, CJUE 2014) et ses suites illustrent la difficulté d'équilibrer ces droits fondamentaux.

Mise en œuvre et traçabilité

Le responsable doit mettre en place un processus structuré : réception de la demande, vérification d'identité, analyse de la recevabilité au regard des six conditions et des exceptions, effacement effectif dans tous les systèmes, information des tiers destinataires le cas échéant, et réponse documentée au demandeur dans le délai d'un mois.

La traçabilité de l'effacement est paradoxale : il faut conserver une preuve que l'effacement a été réalisé, sans conserver les données elles-mêmes. On conserve donc des métadonnées : date de la demande, motif, date d'effacement, systèmes concernés, sans les données personnelles elles-mêmes.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis