Un client peut-il exiger l'effacement de ses données ?

Introduction

Le droit à l’effacement, souvent présenté comme un droit à l’oubli, est invoqué bien au-delà de son champ réel. Il n’autorise pas une personne à faire disparaître toute trace d’elle chez un professionnel.

Les cas où l’effacement s’impose

Les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées.

La personne retire son consentement, lorsque celui-ci constituait la base du traitement, et il n’existe pas d’autre fondement juridique.

La personne s’oppose au traitement et il n’existe pas de motif légitime impérieux prévalant, ou elle s’oppose à un traitement à des fins de prospection.

Les données ont fait l’objet d’un traitement illicite.

L’effacement est requis pour respecter une obligation légale.

Les données ont été collectées dans le cadre de l’offre de services de la société de l’information à un enfant.

Les exceptions

Le droit ne s’applique pas dans la mesure où le traitement est nécessaire.

À l’exercice du droit à la liberté d’expression et d’information.

Au respect d’une obligation légale qui requiert le traitement, ou à l’exécution d’une mission d’intérêt public.

À des fins archivistiques dans l’intérêt public, de recherche scientifique ou historique, ou à des fins statistiques.

À la constatation, à l’exercice ou à la défense de droits en justice.

Cette dernière exception est la plus utilisée en pratique : un dossier susceptible d’alimenter un contentieux peut être conservé, pour la durée nécessaire, sous archivage restreint.

La distinction avec la conservation légale

L’exception tenant à l’obligation légale ne permet pas de tout conserver.

Elle couvre les données dont la conservation est imposée, notamment les pièces comptables, non l’ensemble du dossier commercial.

Le bon réflexe consiste à trier : effacer ce qui n’est plus nécessaire, archiver ce qui est légalement requis, et informer la personne de cette distinction.

Le traitement de la demande

Le délai est d’un mois, prorogeable de deux mois dans les mêmes conditions que pour l’accès.

L’effacement doit être effectif dans l’ensemble des systèmes, y compris les outils tiers alimentés par le responsable.

Une réponse partielle, limitée à la base principale alors que les données subsistent dans l’outil d’emailing ou l’outil de gestion commerciale, ne satisfait pas à l’obligation.

L’information des destinataires

Lorsque les données ont été transmises à des destinataires, le responsable leur communique l’effacement, à moins que cela ne se révèle impossible ou n’exige des efforts disproportionnés.

Lorsque les données ont été rendues publiques, une obligation renforcée s’applique : le responsable prend des mesures raisonnables, compte tenu des technologies disponibles et des coûts, pour informer les responsables qui traitent ces données de la demande d’effacement.

L’anonymisation comme alternative

Lorsque les données servent à des fins statistiques ou d’analyse, l’anonymisation permet de conserver la valeur d’usage tout en satisfaisant la demande.

L’anonymisation doit être réelle et irréversible : une simple pseudonymisation, qui laisse subsister une table de correspondance, ne fait pas sortir les données du champ du règlement.

Répondre sans effacer ce qui doit être conservé

La difficulté est de trier au bon endroit. Notre expertise RGPD et protection des données personnelles organise ces réponses.

En résumé

• Six cas ouvrent le droit à l’effacement, dont la fin de nécessité et le retrait du consentement.
• Les obligations légales de conservation et la défense en justice constituent des exceptions.
• Trier : effacer, archiver sous accès restreint, informer la personne de la distinction.
• L’effacement doit être effectif dans tous les systèmes, outils tiers compris.
• Les destinataires doivent être informés, sauf efforts disproportionnés.