Guidelines

Ici viendront les guidelines

D'où vient-on ?

Présenté en grandes pompes comme l’innovation majeure du Règlement, le droit à l’effacement était toutefois déjà contenu, à tout le moins, en germe dans la Directive, en son article 12, point b).

On renvoie ici à l’arrêt important rendu par la grande chambre de la Cour de justice de l’Union européenne le 13 mai 2014 ((CJUE, Google Spain SL c. Costeja, 13 mai 2014, C-121/12). Après avoir considéré que Google est soumis aux dispositions de la Directive 95/46/CE (ou de la loi de transposition) et qu’il est considéré comme le responsable du traitement, la Cour a jugé que les droits de rectification et d’opposition consacrés par ces dispositions permettent à une personne de réclamer le déréférencement de liens litigieux.

Les demandes au titre des articles 12, sous b) (correction), et 14, premier alinéa, sous a) (opposition), de la Directive pouvaient donc être directement adressées par la personne concernée au responsable du traitement qui doit alors dûment examiner le bien-fondé de celles-ci et, le cas échéant, mettre fin au traitement des données en cause. Lorsque le responsable du traitement ne donnait pas suite à ces demandes, la personne concernée pouvait saisir l’autorité de contrôle ou l’autorité judiciaire pour que celles-ci effectuent les vérifications nécessaires et ordonnent à ce responsable des mesures précises en conséquence.

Belgique

L’article 12, § 1^er, 2^ème alinéa de la loi du 8 décembre 1992 reconnaît à toute personne le droit de s'opposer, pour des raisons sérieuses et légitimes tenant à une situation particulière, à ce que des données la concernant fassent l'objet d'un traitement, sauf lorsque le traitement est nécessaire, soit  à l’exécution d’un contrat au sens de l’article 5, b) de la loi, soit à la sauvegarde de l’intérêt vital de la personne concernée au sens de l’article 5, c) de la loi. Lorsqu’il est fondé, le droit d’opposition oblige le responsable à cesser tout traitement relatif auxdites données. En outre, chacun dispose du droit « absolu » de s’opposer, sans justification et gratuitement, au traitement de ses données à des fins de marketing direct.

Le droit d’opposition est complété par le droit d’obtenir sans frais la suppression ou l'interdiction d'utilisation de toute donnée à caractère personnel qui serait incomplète ou non pertinente ou dont l'enregistrement, la communication ou la conservation seraient interdits ou encore qui a été conservée au-delà de la période autorisée.

Les modalités d’exercice de ces droits sont définies aux articles 32 à 35 de l’arrêté royal du 13 février 2001 portant exécution de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel. Concrètement, si le responsable refuse ou ne répond pas à une demande d’opposition ou de suppression dans un délai d’un mois, la personne concernée peut soit  saisir la Commission de la protection de la vie privée qui procédera alors aux vérifications nécessaires (art. 13 de la loi) ; soit saisir directement le président du tribunal de première instance de son domicile ou à défaut celui du domicile du responsable de traitement (art. 14 de la loi).

France

En vertu de l’article 40 de la loi Informatique et Libertés, toute personne physique justifiant de son identité peut exiger du responsable d'un traitement que soient effacées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l'utilisation, la communication ou la conservation est interdite.

Il appartient au responsable de démontrer qu’il a accompli les opérations nécessaires pour donner suite à la demande de la personne concernée, à moins qu’il ne démontre que les données contestées ont été communiquées par l'intéressé ou avec son accord. Si les données ont été communiquées à un tiers, le responsable doit notifier auxdits tiers les opérations accomplies.

 

Où va-t-on ?

L’article 17 du Règlement investit toute personne concernée par un traitement de données à caractère personnel d’un droit à l’oubli numérique et à l'effacement.

L’apport majeur de cette disposition est de fixer et les conditions d’exercice du droit à l’oubli numérique, notamment l’obligation qui est faite au responsable du traitement ayant rendu publiques des données à caractère personnel d’informer les tiers de la demande de la personne concernée d'effacer tout lien vers ces données ou les copies ou reproductions qui en ont été faites.

Ainsi, en vertu l’article 17 du Règlement, l’effacement doit être obtenu dans les meilleurs délais lorsque l’un des motifs suivants s’applique :

-les données ne sont plus nécessaires au regard des finalités présidant le traitement ;

-lorsque la personne concernée a retiré le consentement sur lequel est fondé le traitement et qu’il n’existe pas d’autre fondement juridique au traitement ;

-lorsque la personne concernée exerce son droit général d’opposition (art. 21), et qu’il n'existe pas de motif légitime impérieux pour le traitement ou lorsqu’elle exerce son droit spécifique d’opposition en matière de marketing direct (art. 21, § 2) ;

-lorsque les données ont fait l'objet d'un traitement illicite ;

-lorsque les données doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l'Union ou par le droit de l'État membre auquel le responsable du traitement est soumis.

- lorsque les données ont été collectées dans le cadre d’une offre de services de la société de l’information s’adressant aux enfants, au sens de l’article 8, paragraphe 1er.

Compte tenu des technologies disponibles et des coûts de mise en œuvre, le responsable du traitement qui a rendu publiques les données et serait tenu de les effacer suite à l’exercice du droit à l’oubli, doit prendre des mesures raisonnables, y compris d’ordre technique, afin d’informer les autres responsables qui traitent les données dont la personne concernée a demandé l’effacement, de procéder également audit effacement de tout lien vers ces données, ou de toute copie ou reproduction de celles-ci.

Le droit à l’oubli numérique et à l’effacement ne pourra cependant pas être exercé lorsque le traitement des données est nécessaire:

-  pour l’exercice de la liberté d’expression et d’information ;

- pour respecter une obligation légale à laquelle est soumis le responsable et qui requiert le traitement ou pour exécuter une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable ;

-pour des motifs d’intérêt public dans le domaine de la santé publique, conformément aux dispositions sur les données sensibles, conformément à l’article 9, paragraphe 2, points h) et i), ainsi qu'à l'article 9, paragraphe 3.

-à des fins d’archivage dans l’intérêt général ou à des fins scientifiques, statistiques et historiques conformément à l’article 89 pour autant que l’exercice du droit à l’oubli rende vraisemblablement impossible ou porte sérieusement atteinte à la réalisation des objectifs des finalités d’archivage dans l’intérêt public ou des finalités scientifiques, de recherche historique ou encore statistique ;

-à la constatation, à l’exercice ou à la défense de droits en justice.

Difficultés probables

Tant sous l’empire de la Directive que sous l’égide du Règlement, ni le droit général d’opposition, ni le droit à l’oubli numérique ne sont absolus. 

Il est certain que les précisions apportées par la disposition sur les hypothèses dans lesquelles ce droit peut être exercé seront précieuses et permettront de rendre plus prévisibles les demandes légitimes d’effacement. Le problème viendra plutôt de la mise en œuvre des exceptions, imposant de difficiles pondérations d’intérêts, dont la responsabilité reposera d’abord sur le responsable du traitement.

Le caractère ubiquitaire d’internet et la possibilité de reproduction illimitée des informations sur la toile obligent en outre les personnes concernées à répéter inlassablement leur demande de déréférencement auprès des moteurs de recherche, dès l’apparition de nouveaux sites web hébergeant lesdites informations. Cette répétition chronophage et énergivore a parfois vite fait de décourager les personnes concernées. Cette situation n’est pas de nature à garantir au citoyen une maîtrise réelle de ses données à caractère personnel.

Le devoir à charge du responsable du traitement d’informer les autres responsables qui traitent les données faisant l’objet de la demande d’effacement permettra-t-il de simplifier la tâche des personnes concernées ? On verra en pratique et au regard des limites admises par le texte lui-même (à partir de quel moment, cela sortira-t-il du raisonnable ?).