Une personne vous écrit pour exiger la suppression de toutes ses données. Avez-vous l'obligation d'accepter ? Dans quel délai devez-vous répondre ? Et surtout : pouvez-vous refuser ?
Le droit à l'oubli, aussi appelé droit à l'effacement, est l'un des droits les plus demandés par les personnes concernée, et l'un des plus mal maîtrisés par les organisations. Une réponse tardive ou un refus injustifié expose directement à une plainte auprès de la CNIL et à une sanction.
Ce guide vous explique ce que recouvre exactement ce droit, quand il s'applique, quand vous pouvez légitimement le refuser, et comment traiter une demande en toute conformité.
Droit à l'oubli ou droit à l'effacement : quelle différence ?
Dans le langage courant, les deux expressions sont utilisées comme synonymes. Juridiquement, il faut nuancer.
Le droit à l'effacement est le terme officiel employé par le Règlement général sur la protection des données (RGPD), à l'article 17. Il désigne le droit, pour toute personne, d'obtenir d'un organisme l'effacement des données personnelles qui la concernent.
Le droit à l'oubli est une notion plus large, popularisée par l'arrêt Google Spain de la Cour de justice de l'Union européenne (2014). Il englobe le droit à l'effacement, mais aussi le droit au déréférencement, c'est-à-dire le droit de demander à un moteur de recherche de ne plus faire apparaître un contenu associé à votre nom, sans que le contenu source ne soit forcément supprimé.
En résumé : tout droit à l'effacement relève du droit à l'oubli, mais le droit à l'oubli ne se limite pas à l'effacement. Pour une organisation qui traite des données, c'est bien l'article 17 du RGPD qui fixe les règles à appliquer.
Ce que dit l'article 17 du RGPD
Une demande d'effacement doit en principe être satisfaite dès lors qu'au moins l'un des cas suivants est réuni, sous réserve des exceptions prévues à l'article 17§3 du RGPD.
Dans quels cas le droit à l'effacement s'applique-t-il ?
Une demande d'effacement doit être satisfaite dès lors qu'au moins l'un des cas suivants est réuni :
- les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ;
- la personne retire son consentement et il n'existe pas d'autre base légale au traitement ;
- la personne exerce son droit d'opposition et aucun motif légitime impérieux ne prévaut ;
- les données sont utilisées à des fins de prospection commerciale ;
- les données ont fait l'objet d'un traitement illicite ;
- l'effacement est requis pour respecter une obligation légale ;
- les données ont été collectées auprès d'un mineur dans le cadre de services de la société de l'information (réseau social, forum, blog, application…).
Les limites : quand pouvez-vous refuser une demande ?
Le droit à l'effacement n'est pas absolu. Vous pouvez légitimement refuser en motivant votre réponse lorsque la conservation des données est nécessaire :
- à l'exercice de la liberté d'expression et d'information ;
- au respect d'une obligation légale (par exemple, la conservation d'une facture pendant 10 ans) ou à l'exécution d'une mission d'intérêt public ;
- pour des motifs d'intérêt public dans le domaine de la santé ;
- à des fins d'archivage dans l'intérêt public, de recherche scientifique ou historique, ou à des fins statistiques ;
- à la constatation, l'exercice ou la défense de droits en justice.
Point de vigilance : une demande d'effacement ne signifie pas « tout supprimer ». Effacer une photo publiée sur un site n'entraîne pas la fermeture du compte de la personne ; supprimer un compte n'efface pas les factures soumises à une obligation légale de conservation. Il faut donc identifier précisément quelles données sont visées.
Droit à l'oubli et déréférencement : le cas des moteurs de recherche
Le droit au déréférencement permet à une personne de demander à Google (ou tout autre moteur) de supprimer certains résultats associés à la recherche de son nom. Le contenu reste en ligne sur le site d'origine, mais il devient beaucoup moins visible.
La jurisprudence continue de préciser les contours de ce droit. La Cour de justice de l'Union européenne a par exemple jugé qu'un moteur de recherche doit déréférencer un contenu lorsque les informations qu'il relaie sont manifestement inexactes, une évolution que nous détaillons dans notre analyse de cet arrêt.
Comment traiter une demande de droit à l'effacement, étape par étape
Pour une organisation, l'enjeu n'est pas seulement juridique : c'est un processus opérationnel qui doit être documenté et traçable.
- Vérifier l'identité du demandeur. Uniquement en cas de doute raisonnable, et sans exiger de justificatifs disproportionnés.
- Qualifier la demande. S'agit-il bien d'un droit à l'effacement ? Quelles données précisément sont concernées ?
- Vérifier si un motif d'application est réuni (voir plus haut) et si aucune exception ne fait obstacle.
- Procéder à l'effacement dans tous les systèmes concernés, y compris chez les éventuels sous-traitants, et informer les autres responsables si les données ont été rendues publiques.
- Répondre à la personne dans le délai imparti, en motivant tout refus partiel ou total.
- Conserver une trace de la demande et de la réponse, pour démontrer votre conformité.
Quel délai pour répondre ?
Vous devez répondre dans les meilleurs délais et au plus tard sous un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois supplémentaires (soit trois mois au total) si la demande est complexe ou si vous recevez de nombreuses demandes, à condition d'informer la personne de cette prolongation et de ses raisons dans le premier mois.
Les risques en cas de non-conformité
Une réponse absente, tardive ou un refus injustifié peut conduire la personne à saisir la CNIL. Le non-respect des droits des personnes fait partie des manquements les plus fréquemment sanctionnés, avec des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. Au-delà du risque financier, c'est la confiance de vos clients et de vos utilisateurs qui est en jeu.
Gérer les demandes d'effacement avec Dastra
Traiter ces demandes manuellement par e-mail, tableur ou dossiers partagés devient vite ingérable et risqué : délais dépassés, absence de traçabilité, données oubliées dans un système tiers.
La fonctionnalité Exercice des droits de Dastra vous permet de centraliser chaque demande, de suivre les délais légaux automatiquement, d'orchestrer les actions entre services et de conserver une preuve complète de leur traitement. Couplée au registre des traitements, elle vous donne une vision claire de l'endroit où sont stockées les données à effacer.
FAQ: Droit à l'oubli et droit à l'effacement
Le droit à l'oubli est-il un droit absolu ? Non. Il s'applique uniquement dans les cas prévus par l'article 17 du RGPD et connaît plusieurs exceptions (obligation légale, liberté d'expression, défense de droits en justice, etc.).
Quelle différence entre droit à l'oubli et droit à l'effacement ? Le droit à l'effacement est le terme juridique du RGPD (article 17) qui suppose l'effacement des données personnelles de la personne concernée auprès de l'organisation. Le droit à l'oubli est une notion plus large qui inclut aussi le déréférencement auprès des moteurs de recherche.
Comment une personne exerce-t-elle son droit à l'oubli ? Elle contacte directement l'organisme (via le DPO ou le formulaire dédié), en précisant les données à effacer. En cas de réponse insatisfaisante, elle peut saisir la CNIL.
Quel est le délai pour répondre à une demande d'effacement ? Un mois maximum, prolongeable de deux mois en cas de demande complexe, sous réserve d'en informer la personne.
Peut-on refuser une demande d'effacement ? Oui, si une exception de l'article 17 s'applique (obligation légale de conservation, exercice de droits en justice, etc.). Le refus doit être motivé.
Sources : CNIL Le droit à l'effacement, Article 17 du RGPD.