Le droit à l’oubli ou droit à l’effacement est prévu par l’article 17 du RGPD. Il permet à la personne concernée par un traitement de demander la suppression des données personnelles la concernant.
Le droit à l’oubli peut être invoqué lorsque :
- Les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été récoltées.
- La personne concernée retire son consentement
- La personne utilise son droit d’opposition et qu’aucun motif légitime ne peuvent être invoqué par le responsable du traitement
- Les données à caractère personnel ont fait l'objet d'un traitement illicite
- L'effacement des données est nécessaire pour se conformer à une obligation légale du droit de l'Union ou d'un État membre
- Les données à caractère personnel ont été collectées dans le cadre de l'offre de services de la société de l'information
Cependant il existe plusieurs hypothèses et situations où le droit à l 'oubli ne peut être invoqué. Par exemple lorsque le traitement est nécessaire :
- A l’exercice de la liberté d’expression et d’information.
- Pour l’accomplissement d’une mission de service public : si le responsable du traitement inscrit sa collecte dans ce but.
- Pour des motifs d'intérêt public dans le domaine de la santé publique
- A des fins d’archivage ,à des fins de recherche scientifique ou historique ou à des fins statistiques
- Pour l’exercice des droits en justice.
Après signalement, le responsable du traitement devra effacer les données qu’il a collectées dans les meilleurs délais et devra au minimum donner une réponse dans un délai d'un mois à partir de la réception de la demande. Cependant il existe certaines situations où le délai peut être plus long si :
- La personne est invitée à confirmer son identité (par exemple, fournir une copie d'une pièce d'identité)
- L'organisation facture des frais
- Le délai de réponse peut être prolongé de deux mois si l'organisation a reçu plusieurs demandes d'un individu ou si la demande est complexe.