Droit à l'effacement des données (RGPD) : motifs, délai de réponse et limites En vigueur
Faits essentiels
| Point | Valeur |
|---|---|
| Fondement | article 17 du RGPD |
| Présentation pratique des motifs | 7 situations listées par la CNIL |
| Délai de réponse | un mois à compter de la réception de la demande |
| Délai prorogé | deux mois supplémentaires compte tenu de la complexité et du nombre de demandes, avec information dans le premier mois |
| Recours | saisine de la CNIL en cas de réponse insatisfaisante ou d'absence de réponse sous un mois |
| Nombre de limites | 5 catégories d'exceptions à l'article 17, paragraphe 3 |
| Justificatif d'identité | informations supplémentaires exigibles uniquement en cas de doutes raisonnables sur l'identité |
Les situations qui ouvrent le droit à l'effacement
L'article 17 du RGPD permet d'obtenir l'effacement de données personnelles dès lors qu'au moins une des situations prévues est réunie. La CNIL les présente en sept cas pratiques :
- vos données sont utilisées à des fins de prospection ;
- les données ne sont plus nécessaires au regard des objectifs pour lesquels elles ont été collectées ou traitées ;
- vous retirez votre consentement à l'utilisation de vos données et il n'existe pas d'autre fondement juridique au traitement ;
- vos données font l'objet d'un traitement illicite ;
- vos données ont été collectées lorsque vous étiez mineur dans le cadre d'une offre de services de la société de l'information ;
- l'effacement est nécessaire pour respecter une obligation légale ;
- vous vous êtes opposé au traitement et aucun motif légitime impérieux ne prévaut, ou l'opposition concerne la prospection.
Comment exercer la demande
Identifier le bon interlocuteur
Les coordonnées du délégué à la protection des données (DPO) ou du responsable figurent en général sur la page dédiée à l'exercice des droits du site de l'organisme : « politique de confidentialité », « politique vie privée », « mentions légales ».
Formuler la demande
- La demande peut être faite par voie électronique ou par courrier.
- Il est important d'indiquer précisément les données à effacer. L'exercice de ce droit n'emporte pas suppression automatique de toutes les données détenues : certaines peuvent rester soumises à une obligation légale de conservation.
- L'organisme ne peut demander une pièce d'identité que s'il a des doutes raisonnables sur l'identité du demandeur, et ne peut exiger de justificatifs abusifs, non pertinents ou disproportionnés.
Conserver une trace
Conserver une capture d'écran horodatée, une copie du courriel ou un accusé de réception permet de documenter la démarche en cas de plainte ultérieure.
Le délai de réponse
Le responsable doit informer la personne des suites données dans un délai d'un mois. Ce délai peut être prolongé de deux mois supplémentaires compte tenu de la complexité et du nombre de demandes ; la personne doit être informée de la prolongation et de ses motifs dans le premier mois. Lorsque l'article 17 s'applique, les données doivent être effacées dans les meilleurs délais.
En cas de réponse insatisfaisante ou d'absence de réponse sous un mois, il est possible de saisir la CNIL par une plainte.
Les limites du droit à l'effacement
Le droit à l'effacement est écarté dans un nombre limité de cas. Il ne doit pas aller à l'encontre :
- de l'exercice du droit à la liberté d'expression et d'information ;
- du respect d'une obligation légale ou de l'exécution d'une mission d'intérêt public ;
- de motifs d'intérêt public dans le domaine de la santé ;
- de finalités archivistiques dans l'intérêt public, de recherche scientifique ou historique, ou statistiques, lorsque l'effacement risque de rendre impossible ou de compromettre gravement leur réalisation ;
- de la constatation, de l'exercice ou de la défense de droits en justice.
À distinguer
- Droit à l'effacement : suppression des données détenues par un organisme.
- Droit au déréférencement : suppression d'un lien dans les résultats d'un moteur de recherche associés à vos nom et prénom, sans suppression du contenu source lui-même.
- Droit d'opposition : refus de l'utilisation des données, qui peut ensuite fonder une demande d'effacement.
- Droit à la limitation : gel temporaire de l'utilisation des données, sans suppression.
Sources
- EUR-Lex – Règlement (UE) 2016/679, articles 12 et 17: https://eur-lex.europa.eu/eli/reg/2016/679/oj/fra
- CNIL – Le droit à l'effacement : supprimer vos données en ligne: https://www.cnil.fr/fr/comprendre-mes-droits/le-droit-leffacement-supprimer-vos-donnees-en-ligne
- CNIL – RGPD, chapitre III : Droits de la personne concernée (article 17): https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre3
- CNIL – Modèle de courrier : supprimer des données personnelles: https://www.cnil.fr/fr/modele/courrier/supprimer-des-donnees-personnelles
- CNIL – Webmasters : répondre aux demandes de suppression de données personnelles: https://www.cnil.fr/fr/webmaster-ou-responsables-de-sites-comment-repondre-aux-demandes-de-suppression-de-donnees