Lexique · Gouvernance & conformité
Droit à l'effacement
Droit d'obtenir du responsable du traitement l'effacement de ses données personnelles dans les meilleurs délais lorsqu'elles ne sont plus nécessaires, que le consentement est retiré, que le traitement est illicite ou que l'opposition est fondée (article 17 du RGPD, dit « droit à l'oubli »).
- Rubrique
- Gouvernance
- Mise à jour
- Articles
- 3
Notions liées
Sources · 3
- [1] Chapitre III, droits de la personne concernée : articles 12, 17 et 19 du règlement (UE) 2016/679 (CNIL)
- [2] Le droit à l'effacement : supprimer vos données en ligne (CNIL)
- [3] Arrêts dans l'affaire C-634/21, SCHUFA Holding (Scoring), et dans les affaires jointes C-26/22 et C-64/22, communiqué de presse n° 186/23 (Cour de justice de l'Union européenne)
Ce que ça change pour une organisation
L’article 17 du RGPD, surnommé « droit à l’oubli », oblige le responsable du traitement à effacer les données dans les meilleurs délais lorsque l’un des six motifs suivants s’applique : les données ne sont plus nécessaires à leur finalité, le consentement est retiré et aucun autre fondement ne subsiste, la personne s’est opposée au traitement sans qu’existe de motif impérieux, le traitement est illicite, une obligation légale impose l’effacement, ou les données ont été collectées auprès d’un mineur pour un service en ligne.
Le droit n’est pas absolu : il cède notamment devant la liberté d’expression, une obligation légale de conservation, la santé publique, l’archivage, la recherche, les statistiques et la défense de droits en justice. Selon la CNIL, la suppression d’un compte n’entraîne ainsi pas celle des factures soumises à conservation.
La réponse est due dans un délai d’un mois, prolongeable en cas de complexité. L’organisation doit aussi notifier l’effacement à chaque destinataire des données, sauf effort disproportionné (article 19), et, si elle avait rendu les données publiques, prendre des mesures raisonnables pour informer les autres responsables qui les traitent (article 17.2). Cela suppose de savoir où chaque donnée est répliquée.
Exemple
Le 7 décembre 2023, dans les affaires jointes C-26/22 et C-64/22 (SCHUFA Holding), la Cour de justice de l’Union européenne a jugé contraire au RGPD qu’une agence privée de renseignements commerciaux conserve les informations sur l’octroi d’une libération de reliquat de dette plus longtemps que le registre public d’insolvabilité allemand, qui les garde six mois. Au-delà, la conservation étant illicite, la personne a droit à l’effacement et l’agence doit supprimer les données.
À ne pas confondre avec
- Le droit d’opposition, qui fait cesser un traitement précis sans supprimer nécessairement les données ; une opposition fondée peut toutefois ouvrir droit à l’effacement.
- Le déréférencement, demande faite à un moteur de recherche pour qu’un lien ne soit plus associé à un nom, sans supprimer le contenu source.
- La limitation du traitement (article 18), qui suspend l’usage des données sans les supprimer.
