Droit à l'effacement (Art. 17 RGPD)

Dans certains cas, il arrive que vous souhaitiez faire effacer vos données personnelles par l’entité qui les traite. C’est possible. Il faut néanmoins se trouver dans l’une des hypothèses décrites dans la présente section.

L’entité qui traitent vos données personnelles devra les effacer dans les meilleurs délais si l’un des motifs suivants s’applique :

  • vos données ne sont plus nécessaires au regard des finalités
  • vous retirez votre consentement sur lequel est fondé le traitement et il n'existe pas d'autre fondement juridique au traitement
  • vous vous opposez au traitement de vos données et il n'existe pas de motif légitime impérieux pour le traitement
  • vos données personnelles ont fait l'objet d'un traitement illicite;
  • vos données personnelles doivent être effacées pour respecter une obligation légale
  • vos données personnelles ont été collectées dans le cadre de l'offre de services de la société de l'information quand vous étiez enfant

Le RGPD précise, pour ce dernier tiret, que ce droit est pertinent, en particulier, lorsque vous avez donné votre consentement à l'époque où vous étiez enfant et n’étiez pas pleinement conscient des risques inhérents au traitement, et que vous souhaitez par la suite supprimer ces données personnelles, en particulier sur l'internet. Vous pouvez exercer ce droit même si vous n'êtes plus un enfant.

Il s’agit donc ici des cas dans lesquels l’entité qui traite vos données personnelles sera tenue d’effacer vos données.

Que se passe-t-il si vos données ont été transmises à d’autres entités ? C’est ici qu’intervient l’expression « droit à l’oubli » qui a notre avis est plutôt à interpréter comme un droit de suite du droit à l’effacement. Compte tenu des évolutions technologiques, il est fort probable qu’il n’existe pas de véritable droit à oubli.

Lorsqu'elle a rendu publiques vos données personnelles et qu'elle est tenue de les effacer parce qu’elle se trouve dans l’une des hypothèses citées ci-dessus, l’entité qui traite vos données (appelée « responsable de traitement ») devra prendre toutes les mesures raisonnables pour informer les autres entités qui traitent vos données que vous avez demandé l'effacement de tout lien vers ces données personnelles, ou de toute copie ou reproduction de celles-ci.

Il ne s’agit donc pas d’une obligation de résultat mais plutôt de moyen.

Même si vous le demandez, l’effacement de vos données ne sera néanmoins pas effectué dans 5 situations bien précises. Ces situations sont les cas où le traitement de vos données personnelles est nécessaire :

  • à l'exercice du droit à la liberté d'expression et d'information;
  • pour respecter une loi qui requiert le traitement de vos données, ou pour exécuter une mission d'intérêt public ou relevant de l'exercice de l'autorité publique ;
  • pour des motifs d'intérêt public dans le domaine de la santé publique ;
  • à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques et pour autant que le droit à l’effacement est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement ;
  • à la constatation, à l'exercice ou à la défense de droits en justice.
Si je ne veux pas que mes données soient publiées sur un site Internet déterminé, dois-je m'adresser à Google pour supprimer ce site Internet des résultats de recherche ?
Comment introduire une demande de suppression de mes données auprès d'un site Internet ?
Comment introduire une demande de suppression de mes données auprès de Google ?
Que faire si l'on n'accède pas à ma demande de supprimer des données ?

S'il s'agit d'un seul site Internet en particulier, vous devez prendre contact en premier lieu avec le gestionnaire de ce site pour faire supprimer vos données. Si le gestionnaire du site Internet refuse de le faire, vous pouvez éventuellement vous adresser à Google. Si votre nom est mentionné sur de nombreux sites Internet différents et qu'il est pratiquement impossible d'écrire à chaque gestionnaire de site distinct, vous pouvez introduire la demande directement auprès de Google. Toutefois, lorsque vous adressez une demande à Google, vos données à caractère personnel continuent à apparaître sur ce(s) site(s) Internet. Google ne fera que fermer le chemin qui y mène.

Attention : dans tous les cas, le RGPD vous impose de suivre une procédure spécifique pour demander la suppression de vos données, faute de quoi votre demande ne sera pas valable. Vous trouverez ci-dessous la description de cette procédure. Si vous n'approuvez pas le refus de votre demande, vous pouvez soit contacter l'Autorité soit vous adresser au tribunal (voir ci-dessous la rubrique "Que faire si l'on n'accède pas à ma demande de supprimer des données ?").

Vous devez introduire votre demande par écrit. Veillez à dater et signer votre demande. Joignez-y également une preuve de votre identité, par exemple une copie de votre carte d'identité. Le gestionnaire du site Internet est ainsi certain de votre identité et l'on évite qu'un tiers demande la suppression de vos données en votre nom. Indiquez clairement les raisons sérieuses que vous invoquez pour faire supprimer vos données.

Une fois votre demande introduite, le gestionnaire du site Internet a un mois pour vous répondre. Si le gestionnaire refuse, vous pouvez également attendre de lui qu'il motive ce refus. Lors de l'examen de votre demande, le gestionnaire du site Internet doit trouver un équilibre entre votre intérêt de protéger votre vie privée et l'intérêt de la société d'être informée.

Google a mis en ligne un formulaire spécifique pour introduire votre demande. Ce formulaire respecte les conditions requises par le RGPD.

Une fois votre demande introduite, Google a un mois pour vous répondre. S'il refuse, vous pouvez également attendre de lui qu'il motive ce refus. En examinant votre demande, Google doit trouver un équilibre entre votre intérêt en tant que personne concernée de protéger votre vie privée et l'intérêt de la société d'être informée.

Si vous êtes convaincu(e) d'avoir donné une bonne raison de faire supprimer vos données mais que votre demande a été refusée, vous pouvez contacter l'Autorité et/ou vous adresser au tribunal. Important : dans tous les cas, vous devez d'abord demander vous-même la suppression de vos données et respecter à cet effet la procédure du RGPD (voir ci-dessus la rubrique "Comment introduire une demande de suppression de mes données auprès d'un site Internet ?") avant que l'Autorité ou le tribunal puissent intervenir.