arrow_back Retour à tous les articles

Article 18
Droit à la limitation du traitement

Textes officiels D'où vient-on ? Où va-t-on ? Difficultés probables
Afficher les considérants du Règlement liés à l'article 18 keyboard_arrow_down Cacher les considérants du Règlement liés à l'article 18 keyboard_arrow_up

(67) Les méthodes visant à limiter le traitement de données à caractère personnel pourraient consister, entre autres, à déplacer temporairement les données sélectionnées vers un autre système de traitement, à rendre les données à caractère personnel sélectionnées inaccessibles aux utilisateurs, ou à retirer temporairement les données publiées d'un site internet. Dans les fichiers automatisés, la limitation du traitement devrait en principe être assurée par des moyens techniques de façon à ce que les données à caractère personnel ne fassent pas l'objet d'opérations de traitements ultérieures et ne puissent pas être modifiées. Le fait que le traitement des données à caractère personnel est limité devrait être indiqué de manière claire dans le fichier.

(156) Le traitement des données à caractère personnel à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques devrait être soumis à des garanties appropriées pour les droits et libertés de la personne concernée, en vertu du présent règlement. Ces garanties devraient permettre la mise en place de mesures techniques et organisationnelles pour assurer, en particulier, le respect du principe de minimisation des données. Le traitement ultérieur de données à caractère personnel à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques doit être effectué lorsque que le responsable du traitement a évalué s'il est possible d'atteindre ces finalités grâce à un traitement de données à caractère personnel qui ne permettent pas ou plus d'identifier les personnes concernées, pour autant que des garanties appropriées existent (comme par exemple la pseudonymisation des données). Les États membres devraient prévoir des garanties appropriées pour le traitement de données à caractère personnel à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques. Les États membres devraient être autorisés à prévoir, dans des conditions spécifiques et moyennant des garanties appropriées pour les personnes concernées, des dispositions particulières et des dérogations concernant les exigences en matière d'information et les droits à la rectification, à l'effacement, à l'oubli, à la limitation du traitement, à la portabilité des données et le droit d'opposition lorsque les données à caractère personnel sont traitées à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques. Les conditions et garanties en question peuvent comporter des procédures spécifiques permettant aux personnes concernées d'exercer ces droits si cela est approprié eu égard aux finalités du traitement spécifique concerné, ainsi que des mesures techniques et organisationnelles visant à réduire à un minimum le traitement des données à caractère personnel conformément aux principes de proportionnalité et de nécessité. Le traitement de données à caractère personnel à des fins scientifiques devrait également respecter d'autres dispositions législatives pertinentes, telles que celles relatives aux essais cliniques.

Il n'y pas de considérant de la Directive 95/46 lié à l'article 18.

Guidelines

Ici viendront les guidelines

D'où vient-on ?

L’article 12 b) de la Directive obligeait déjà les États membres à garantir à la personne concernée le droit d’obtenir le verrouillage des données dont le traitement n'est pas conforme à la Directive, notamment en raison du caractère incomplet ou inexact des données.

La notion de « verrouillage des données » n’a cependant fait l’objet d’aucune définition dans la Directive.

Belgique

La loi du 8 décembre 1992 ne prévoit pas explicitement la possibilité pour la personne concernée de solliciter le verrouillage de ses données.

France

Le droit à la limitation du traitement avait été transposé dans la loi Informatique et Libertés à l’article 40, en vertu duquel toute personne justifiant de son identité peut exiger notamment que les données la concernant soient verrouillées, si ces données sont inexactes, incomplètes, équivoques, périmées, ou si la collecte, l’utilisation, la communication ou la conservation de ces données est interdites.

Où va-t-on ?

Le droit à la limitation du traitement est apparu avec la seconde proposition de Règlement du 11 juin 2015. Le Règlement autorise la personne concernée à revendiquer la limitation du traitement de données à caractère dans quatre cas de figure limitativement énumérés. La limitation du traitement doit être entendue comme le marquage de données à caractère personnel enregistrées, en vue de limiter leur traitement futur (art. 4. 3).

- la personne peut obtenir la limitation du traitement lorsqu’elle conteste l’exactitude d’une donnée, le temps que le responsable puisse contrôler celle-ci.

- elle peut exiger la limitation si le traitement est illicite et qu’elle s'oppose néanmoins à leur effacement, préférant une telle limitation. Cette hypothèse a été ajoutée par le compromis final sur le futur Règlement.

-  la personne peut également demander la limitation du traitement de ses données lorsque quoique n’étant plus nécessaires à la poursuite des finalités du traitement, la personne concernée en a besoin pour la constatation, l'exercice ou la défense de ses droits en justice.

- le responsable doit faire droit à la demande de limitation des données le temps nécessaire à l’examen du caractère fondé d’une demande d’opposition due à la situation particulière de la personne (art. 21) c’est-à-dire le temps de procéder à la vérification de la balance des intérêts entre les intérêts légitimes du responsable et ceux de la personne concernée.

Selon le considérant 67, la limitation du traitement peut être effectuée selon diverses modalités : un déplacement temporaire des données vers un autre système de traitement, un verrouillage des données les rendant inaccessibles, un retrait temporaire de données publiées sur un site Internet etc.

En cas de limitation du traitement, les données concernées ne peuvent plus faire l’objet d’un quelconque traitement, à l’exception de leur conservation, et sauf consentement de la personne. Les données faisant l’objet d’une limitation peuvent néanmoins encore être traitées pour la constatation, l'exercice ou la défense de droits en justice, ou pour la protection des droits d'une autre personne morale ou physique, ou encore pour des motifs importants d'intérêt public dans l’Union ou l’État membre.

Enfin, le dernier paragraphe de l’article 18 oblige le responsable du traitement à informer la personne concernée avant que la limitation du traitement ne soit levée.

Difficultés probables

Les obligations pour les responsables du traitement résultant du droit à la limitation du traitement pour les personnes concernées doivent être intégrées dans les process existants. Il s’agit en réalité d’un droit d’opposition particulier -parce que temporaire et circonstanciel- mais qui demande un traitement distinct.

Dans les cas d’inexactitude ou d’opposition, le responsable doit suspendre avant toute vérification du fondement des prétentions de la personne concernée. Là encore, le responsable du traitement sera au premier rang pour opérer la balance des intérêts en jeu. Tel n’est cependant pas le cas pour les deux autres hypothèses (illicéité du traitement et absente d’utilité du traitement). Un refus de suspension peut alors être opposé suite à la contestation du bien fondé de la demande, mais au risque et péril du responsable du traitement.

Règlement
1e 2e

Art. 18

1. La personne concernée a le droit d'obtenir du responsable du traitement la limitation du traitement lorsque l'un des éléments suivants s'applique:

a) l'exactitude des données à caractère personnel est contestée par la personne concernée, pendant une durée permettant au responsable du traitement de vérifier l'exactitude des données à caractère personnel;

b) le traitement est illicite et la personne concernée s'oppose à leur effacement et exige à la place la limitation de leur utilisation;

c) le responsable du traitement n'a plus besoin des données à caractère personnel aux fins du traitement mais celles-ci sont encore nécessaires à la personne concernée pour la constatation, l'exercice ou la défense de droits en justice;

d) la personne concernée s'est opposée au traitement en vertu de l'article 21, paragraphe 1, pendant la vérification portant sur le point de savoir si les motifs légitimes poursuivis par le responsable du traitement prévalent sur ceux de la personne concernée.

2. Lorsque le traitement a été limité en vertu du paragraphe 1, ces données à caractère personnel ne peuvent, à l'exception de la conservation, être traitées qu'avec le consentement de la personne concernée, ou pour la constatation, l'exercice ou la défense de droits en justice, ou pour la protection des droits d'une autre personne physique ou morale, ou encore pour des motifs importants d'intérêt public de l'Union ou d'un État membre.

3. Une personne concernée qui a obtenu la limitation du traitement en vertu du paragraphe 1 est informée par le responsable du traitement avant que la limitation du traitement ne soit levée.

Proposition 1 close

Pas de disposition correspondante.

Proposition 2 close

1. La personne concernée a le droit d'obtenir du responsable du traitement la limitation du traitement des données à caractère personnel lorsque:

a) l'exactitude des données est contestée par la personne concernée, pendant un délai permettant au responsable du traitement d'en vérifier l'exactitude ;

b) le responsable du traitement n'a plus besoin des données à caractère personnel aux fins du traitement mais elles sont encore nécessaires à la personne concernée pour la constatation, l'exercice ou la défense de ses droits en justice;

ou c) elle s'est opposée au traitement en vertu de l'article 19, paragraphe 1, en attendant qu'il ait été vérifié si les raisons légitimes du responsable du traitement priment sur celles de la personne concernée.

2. (...)

3. Lorsque le traitement des données à caractère personnel est limité en vertu du paragraphe 1, ces données ne peuvent, à l'exception de la conservation, être traitées qu'avec le consentement de la personne concernée, ou pour la constatation, l'exercice ou la défense de droits en justice, ou pour la protection des droits d'une autre personne morale ou physique, ou encore pour des motifs importants d'intérêt public .

4. Une personne concernée qui a obtenu une limitation du traitement en vertu du paragraphe 1 (...) est informée par le responsable du traitement avant que la limitation du traitement soit levée.

5. (...)

5 bis. (...)

Directive

Art. 12

Les États membres garantissent à toute personne concernée le droit d'obtenir du responsable du traitement: (…).

b) selon le cas, la rectification, l'effacement ou le verrouillage des données dont le traitement n'est pas conforme à la présente directive, notamment en raison du caractère incomplet ou inexact des données;

France

Art. 40

Toute personne physique justifiant de son identité peut exiger du responsable d'un traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l'utilisation, la communication ou la conservation est interdite.

 

Belgique

Pas de disposition correspondante.

Ulys logo

Cabinet d’avocats moderne et humain,
au service de la création et de l’innovation

En savoir plus
Droit & Technologies logo white

Depuis 1997, le Portail du Droit des Technologies
Retrouvez-y les derniers actualités et des dossiers exclusifs.

En savoir plus
close

En poursuivant votre navigation sur notre site, vous acceptez l’utilisation de cookies afin de nous permettre d’améliorer votre expérience utilisateur. En savoir plus

OK